NUEVO MAIL MALICIOSO QUE LLEGA CON UN ZIP ANEXADO (CONTENIENDO JS.NEMUCOD)

Se está recibiendo un  mail de un dominio .CZ (Republica Checa) con dominio de Generalli que pudiera confundir a algún usuario, si bien indica que el remitente es del equipo de Microsoft (???). Anexa un ZIP que contiene un JS que resulta ser un downloader NEMUCOD, que pasamos a controlar a partir del ELISTARA 37.14 de hoy.

El contenido del mail presente este texto:

MAIL MALICIOSO

_______________

Asunto:De: <miroslav_rejko@generali.cz>

Fecha: 28/06/2017 2:46Para: destinatario

Microsoft account

Unusual sign-in activityWe detected something unusual about a recent sign-in to the Microsoft account sat@satinfo.es. To help keep you safe, we required an extra security challenge.

Sign-in details:

Country/region: Romania

IP address: 2.45.107.15

Date: Wed, 28 Jun 2017 00:46:40 -0000

If this was you, then you can safely ignore this email.If you’re not sure this was you, a malicious user might have your password. Please review your recent activity and we’ll help you take corrective action.

Please check out attached document for further instructions.  Thanks,The Microsoft account team

ANEXADO:  EMAIL_63853436391_sat.ZIP   <— Fichero ZIP malicioso, contiene 15079.ZIP con 15079.JS que es un downloader NEMUCOD.
___________________

FIN MAIL MALICIOSO

El preanalisis de virustotal ofrece el siguiente informe:

MD5 5d654fc538b41542d9299f271280b1c8

SHA1 2ea63956584b1678956066a245f9767dd6249405

Tamaño del fichero 8.6 KB ( 8820 bytes )

SHA256: 153b11ae2df30b671bd0bd54af55f83fd2a69e47c8bb924b842bc1b44be65859

Nombre: 15079.js

Detecciones: 33 / 56Fecha de análisis: 2017-06-28 11:09:24 UTC ( hace 0 minutos )

total

Dicha versión del ELISTARA 37.14 que lo detecta y elimina, estará disponible en nuestra web a partir del 28/6/2017

saludos

ms, 27-6-2017