OTRO MAIL DE  lorihm@optonline.net    ADJUNTANDO ZIP QUE DESCARGA FICHERO .JS CON NEMUCOD QUE DESCARGA UN  RANSOM CRYPT

Ya hace un par de meses detectamos el envio de un ZIP infectado con un Nemucod, procedente del mismo remitente indicado en el título, según indicabamos en:
to/” target=”_blank” rel=”noopener”>https://blog.satinfo.es/2017/un-ultimo-mail-con-fichero-anexado-js-nemucod-que-descarga-malware-posiblemente-cryptolocker-o-cerber4-ahora-ya-sin-texto/

Ahora anexa otro NEMUCOD que descarga y ejecuta un RANSOMWARE CRYPT:

total.com/es/file/24c00ddb29a20ca80e6bcf99c02a42a0ac953e9550ac1dd1bdc41c92acbc58d9/analysis/1499323636/

Dicho RANSOM CRYPT lo pasamos a controlar a partir del ELISTARA 37.20 de hoy, y el preanalisis de virustotal ofrece el siguiente informe:

MD5 310bf33358ac596dbd6dcfa0898141d0

SHA1 a9e0b05bae84d5438fce3966861dc95663337878

Tamaño del fichero 264.0 KB ( 270336 bytes )

SHA256: 2b933e08e23e97d739c5989b80dd84a61b13c33a0af941891cf5e543c4181de2

Nombre: 310bf333.exe

Detecciones: 18 / 60

Fecha de análisis: 2017-07-06 09:06:52 UTC ( hace 1 minuto )
Informe global actual de totalhttps://www.virustotal.com/es/file/2b933e08e23e97d739c5989b80dd84a61b13c33a0af941891cf5e543c4181de2/analysis/1499332012/

Este ransomware codifica ficheros BAT, BMP, DLL, EXE, GIF, INI, JPG, MID, PNG, SYS, TXT, WAV, XML, ZIP, etc… de todas las unidades mapeadas (respetando %WinDir%)

A los ficheros codificados les añade la extensión “.crypt”

Fijarse que, a diferencia de la mayoría de ransomwares, este tambien codifica los ficheros EXE de otras carpetas que no cuelguen de C:\windows !!!

Dicha versión del ELISTARA 37.20 que los detecta y elimina, estará disponible en nuestra web a partir del 7.7.2017

saludos

ms, 6-7-2017