NUEVA VARIANTE DE TROJAN COMROKI QUE PASAMOS A CONTROLAR CON ELISTARA

Descargado por un downloader ya es un viejo conocido que, en su monitorización, vemos que:
– Queda residente.
– Se añade en la lista de Autorizaciones del CortaFuegos de Windows.
– Oculta ficheros del sistema.

Su ejecución descarga otro downloader que actualiza la versión instalada de dicho Comroki y se instala en el equipo con el nombre de un ficheros de windows, como:

%Datos de Programa%\ CSRSS.EXE (+s+h+r)
%Datos de Programa%\ RUNDLL32.EXE (+s+h+r)
%Datos de Programa%\ SVCHOST.EXE (+s+h+r)
%Datos de Programa%\ System32\ CSRSS.EXE (+s+h+r)
%Datos de Programa%\ System32\ SVCHOST.EXE (+s+h+r)
%Datos de Programa%\ System32\ RUNDLL32.EXE (+s+h+r)
%WinSys%\ RUNDLL32.EXE (sobrescribe al original que exista en dicha ruta)

Nos han llegado dos ficheros iguales, aparcados por la heuristica del ELISTARA, con los siguientes nombres:

SVCHOST.EXE.Muestra EliStartPage v36.27
RUNDLL32.EXE.Muestra EliStartPage v36.27

Lo pasamos a controlar a partir del ELISTARA 36.28 de hoy

El preanalisis de virustotal ofrece el siguiente informe:

MD5 79c0e8961a732ed8a72b3e37110f0483
SHA1 cdff44b5f382469e3da84bbeba29247eb154825e
Tamaño del fichero 132.0 KB ( 135168 bytes )
SHA256:
a619f9953939c66ffa5d6f1b6b927eda996332a07b63fa46e896daf5377760f7
Nombre:
RUNDLL32.EXE.Muestra EliStartPage v36.27
Detecciones:
32 / 58
Fecha de análisis:
2017-02-22 08:53:37 UTC ( hace 29 minutos )

total.com/es/file/a619f9953939c66ffa5d6f1b6b927eda996332a07b63fa46e896daf5377760f7/analysis/1487753617/

Dicha versión del ELISTARA 36.28 que lo detecta y elimina, estará disponible en nuestra web a partir del 23-2 prox.

saludos

ms, 22-2-2017