Analisis de ficheros convertidos en ejecutables con password

Recibidos dos ficheros de diferentes clientes, con iguales signos de haber sido protegidos con password, ofrecemos la información al respecto:

MUESTRAS DE FICHEROS PROTEGIDOS CON PASSWORD:

Pedproc.dbf(!! to get password email id 725142121 to brbrcodes@gmail.com !!).EXE

Sical.mdb(!! to get password email id 1801718163 to brbrcodes@gmail.com !!).EXE

_____________

btbrcode@gmail.com es una direccion de Brusque (Santa Catarina) de Brasil

relacionado (encontrado con Google buscando la direccion de correo):
https://www.google.es/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&cad=rja&uact=8&ved=0ahUKEwiAkM2AmfTTAhUMVhoKHXjqBvYQFggpMAA&url=http%3A%2F%2Fbrusque.portaldacidade.com%2Fnoticias%2F4625-empresa-teria-sido-alvo-de-hackers-em-brusque&usg=AFQjCNHwTMIJm5sxi0Srb9VRGNK0vWWY6w

Traducción:
“Un hombre de 43 años de edad, identificado como Marcos Antônio Cervi, estuvo en la Comisaría de Policía Civil de Brusque, durante este lunes (8), para registrar un boletín de incidencia donde afirma haber sido víctima de hackers.
Marcos es propietario de la empresa Cervi Mantenimiento y Piezas de Maquinaria LTDA., Y relató para el turno policial de la DP que una invación ocurrió en los servidores de la empresa. Varios archivos se han eliminado, incluyendo los datos que estaban en la nube.
Una carpeta, sin embargo, quedó comprimida en el disco duro con contraseña. Para recuperar, la víctima tendría que ponerse en contacto con el correo electrónico brbrcodes@gmail.com para “negociar” un pago, a fin de que los archivos sean liberados. “

Al parecer el hackeo es de Brasil, relacionado con la ciudad de Brusque
Los preanalisis de dichos ficheros son los siguientes:

total.com/es/file/02cfc6530836bbc6b7bad677b1bfae72ba30e686700f2a8a81770a48e370d683/analysis/1494928874/

SHA256:
02cfc6530836bbc6b7bad677b1bfae72ba30e686700f2a8a81770a48e370d683
Nombre:
Pedproc.dbf(!! to get password email id 725142121 to brbrcodes@gm…
Detecciones:
7 / 60
Fecha de análisis:
2017-05-16 10:01:14 UTC ( hace 8 minutos )

Pedproc.dbf(!! to get password email id 725142121 to brbrcodes@gmail.com !!).EXE
_________
Y EL OTRO:

total.com/es/file/d971c398f5f17acf7969009762e48320230b290aa021bf26c2b48f01ac95d49c/analysis/1494928533/

SHA256:
d971c398f5f17acf7969009762e48320230b290aa021bf26c2b48f01ac95d49c
Nombre:
Sical.mdb(!! to get password email id 1801718163 to brbrcodes@gma…
Detecciones:
8 / 62
Fecha de análisis:
2017-05-16 09:55:33 UTC ( hace 12 minutos )

Sical.mdb(!! to get password email id 1801718163 to brbrcodes@gmail.com !!).EXE
Pedimos a los que nos han enviado dichos ficheros que lancen el SPROCES, pulsen en SALIR y nos envien el informe resultante (SPROCLOG.TXT) haciendo referencia a esta comunicación.

Cuando los recibamos, veremos si hay algun fichero que se ejecute en el registro, y lo pediremos para analizar.

saludos

ms, 16-5-2017