MAS RANSOMWARES (CERBER 4) TAN O MAS PELIGROSOS QUE EL CRYPTOLOCKER AL NO HABER QUIEN LO DESCIFRE

Aparte de la racha de Cryptolockers que llegan en los falsos mails de FACTURAX, estan llegando CERBER 4 tan o mas peligrosos que los primeros, al no haber quien los descifre, salvo sus creadores, pero pagando, claro. (LO CUAL SE DESACONSEJA, POR ALIMENTAR AL HACKER !)

Los que hemos recibido hoy hasta el momento, y que ya están controladoS a partir de ELISTARA 36.36 de hoy, ofrecen estos MD5:
“3DAA3B14B8E7424FCD6869A58E535A8A” -> 3daa3b14.exe 271365
“50AFFD8F2BFC640BC2AA7F036EBB3FEA” -> 50affd8f.exe 250042
“553B1DFA3B32CB91EB1146A22B42E9CB” -> 553b1dfa.exe 399018
“6CC31A8032D64874653AF308C7A441BB” -> 6cc31a80.exe 402601
“99F8D90D518FA66679FAF693EBBB5A2C” -> 99fbd90d.exe 455081
“9D08F93974E29AACD74E8C291796DF99” -> 9d08f939.exe 240825
“EEF6863116D3F6274AB2FD0F71B0B096” -> eef68631.exe 289645
Un mail en el que nos ha llegado uno de los downloaders NEMUCOD que lo descargan, contiene el siguiente texto (solo remitente y destinatario):

MAIL MASIVO MALICIOSO:
_____________________

Asunto: 43708 virus
De: <andris.rozenbergs@ltv.lv> <— fijarse que el dominio es de LETONIA !!!
Fecha: 03/03/2017 3:27
Para: “destinatario>

ANEXADO 14413_ZIP.zip (CONTIENE 14413.js malicioso con dldr NEMUCOD que instala CERBER4)

_________________________
FIN MAIL MASIVO MALICIOSO

Como hemos indicado ayer en la información del Cryptolocker, a veces tambien se puede sospechar de estos por el dominio del remitente, en este caso .lv (LETONIA) si no es usual tener conocidos en dicho pais.

Y el preanalisis de virustotal del ransomware descargado por el NEMUCOD que anexa el mail, es el siguiente:
MD5 9d08f93974e29aacd74e8c291796df99
SHA1 8710026465fe7c2d48d4eaa994b8590ba09e13a3
Tamaño del fichero 235.2 KB ( 240825 bytes )
SHA256: bac11509b47c98a9c382b474af3392c7acb205ba09eaf768e2fcb6b79d915c91
Nombre: 9d08f939.exe
Detecciones: 12 / 58
Fecha de análisis: 2017-03-03 09:23:12 UTC ( hace 9 minutos )

https://www.virustotal.com/es/file/bac11509b47c98a9c382b474af3392c7acb205ba09eaf768e2fcb6b79d915c91/analysis/1488532992/

Dicha versión del ELISTARA 36.36 que lo detecta y elimina, estará disponible en nuestra web a partir del 4/3 prox.

saludos

ms, 3-3-2017