NUEVAS VARIANTES DE RANSOMWARE CERBER 4 QUE SIGUEN LLEGANDO SIN PARAR

Siguen llegando nuevas variantes de ransomware CERBER 4, “mejorando” ahora los HTA y JPG que dejan en las carpetas donde cifran ficheros, y dejando BMP como fondo de pantalla, con letras grandes en fondo rejo, con las instrucciones para el pago del rescate.
Como los anteriores, lo mas normal es que lleguen en un ZIP adjunto aun EMail

El ZIp contiene un JS que al ejecutarlo descarga y ejecuta el dichoso ransomware.

También por actualización de algunos malwares como el Backdoor Kirts, se reciben nuevas variantes del dicho ransomware.

Y como los anteriores, el ransomware desaparece del ordenador en el que se ha ejecutado, cuando ha terminado el cifrado de ficheros de datos en carpetas compartidas.

Los datos de MD5 de los últimos ficheros recibidos de este ransomware, son los siguientes:
“0EC27266A7AD226DC4C4043886D5A54F” -> 0ec27266.exe 273271
“5211C1CE05486636203B5BBF57517C08” -> 5211c1ce.exe 236163
“B4312B6764BA69A880FBAC4FAA0D46BB” -> b4312b67.exe 235716
“E60E38FD1BDFA3632211190962EE4B55” -> e60e38fd.exe 232361
“F913BDD16945FC0BF830DC3482A67F95” -> f913bdd1.exe 233985

y el fondo de pantalla, igual que los JPEG que deja en cada carpeta donde ha cifrado ficheros, es el siguiente:

y el preanalisis de virustotal del primero indicado, ofrece el siguiente informe:

MD5 0ec27266a7ad226dc4c4043886d5a54f
SHA1 5f7458ded8594e2ea497173201c3e8b835eeb7c4
File size 266.9 KB ( 273271 bytes )
SHA256: c60ebf33607cd82d941eef29a30ab3815422ccd2c075aadc8bfaf67b4d215be6
File name: 0ec27266.exe
Detection ratio: 14 / 55
Analysis date: 2017-01-09 09:08:00 UTC ( 2 minutes ago )
0
1

Antivirus Result Update
AVG Generic16_c.CBAG 20170109
AegisLab Troj.Dropper.Gen!c 20170109
AhnLab-V3 Trojan/Win32.BitCoinMiner.C1738234 20170108
Avast Win32:Malware-gen 20170109
Avira (no cloud) TR/Dropper.Gen 20170109
Bkav HW32.Packed.9733 20170107
CAT-QuickHeal Ransom.Cerber.B 20170109
Fortinet W32/Injector.OV!tr 20170109
Invincea virus.win32.sality.at 20161216
McAfee Artemis!0EC27266A7AD 20170108
McAfee-GW-Edition BehavesLike.Win32.ObfusRansom.dc 20170109
Qihoo-360 HEUR/QVM20.1.0000.Malware.Gen 20170109
VBA32 suspected of Malware-Cryptor.Win32.General 20170106
nProtect Ransom/W32.Cerber.273271 20170109

Al ser solo un 25 % los AV que lo controlan, pasamos a enviar muestra del mismo para que los principales fabricantes, entre ellos Kaspersky, lo analicen y añadan su control en las proximas versiones de sus antivirus.

Dicha versión del ELISTARA 35.96 que lo detecta y elimina, estará disponible en nuestra web a partir del 10-1-2017

saludos

ms, 9-1-2017