NUEVA VARIANTE DE TROJAN CAYU QUE PASAMOS A CONTROLAR CON ELISTARA

Un nuevo especimen ha aparecido hoy, de los que al usar extensión PIF, no es visible bajo windows, como los link (LNK) y URL por ejemplo.

AL subir a virus total el fichero sospechoso en cuestión (taskhost8pzxc) sí que le ha visto el plumero y lo ha analizado como .PIF que es

Queda residente y el proceso activo utiliza el nombre de un fichero del sistema “netsh.exe”, “ipconfig.exe”, “WScript.exe”, etc, que cambia en cada reinicio del sistema, al igual que su ubicación, pudiendo ser una cualqwuiera existente en la carpeta del Usuario, al igual que tambien cambia en cada instalación su nombre y valos de la clave de lanzamiento:

%nombre.ext% cambia en cada instalación. “taskhost8pzxc.pif”, “ThumbCacheup.cmd”, etc.

%valor% cambia en cada instalación. “services1BV”, “certmgr4HA8U”, etc.

Si se detecta en el equipo pedirá que se reinicie, y si presenta problemas de eliminación, arrancar en MODO SEGURO y lanzar nuestra utilidad en dicho modo.

Es un congenere de armas tomar, asi que puede ser un poco duro de pelar, por su regenaración con diferentes nombreS y ubicaciones, pero con lo indicado lo hemos podido eliminar por exploración de cadenas en todos los ficheros (EN MODO SEGURO).

El preanalisis de virustotal ofrece el siguiente informe:
MD5 d894597c7be7ff560727c7451140cc87
SHA1 cbec7aa053bd5af7afebdd3d7360718b6ec089c8
Tamaño del fichero 205.6 KB ( 210512 bytes )
SHA256: 9af55a166b578899b68a1ca97d7dbc11689a607183b8102af71cae4b2d9d9ba4
Nombre: taskhost8pzxc.pif
Detecciones: 23 / 59
Fecha de análisis: 2017-02-23 15:48:08 UTC ( hace 0 minutos )

total.com/es/file/9af55a166b578899b68a1ca97d7dbc11689a607183b8102af71cae4b2d9d9ba4/analysis/1487864888/

Dicha versión del ELISTARA 36-29 que lo detecta y elimina, estará disponible en nuestra web a partir del 24-2- prox.

saludos

ms, 23-2-2017