OTROS RANSOMWARES COMO EL SAGE, INCORDIAN AUNQUE COMO EL CERBER Y EL LOCKY SE AUTOBORRAN TRAS CIFRAR FICHEROS

Si bien algunos como ransomwares como el CRYPTOLOCKER persisten en el ordenador tras cifrar los ficheros de unidades compartidas, quedando la clave en el registro que recarga el malware tras reiniciar, otros como el CERBER, el LOCKY y el SAGE desaparecen, lo cual si bien es bueno para que el usuario pueda restaurar ficheros sin preocuparse de eliminar el virus, no permite analizar el malware para poder controlarlo, y solo si se detecta antes de ejecutarlo, se puede analizar.

Este es el caso del SAGE, que añade .sage a los ficheros cifrados,
– Queda residente.
– Codifica ficheros BAT, BMP, GIF, JPG, PNG, TXT, WAV, XML, etc…
de todas las unidades mapeadas (respetando %WinDir%)
– A los ficheros codificados les añade la extensión “.sage”
– Asocia la extension “.sage” a un nuevo tipo de archivo “sage.notice”

y el autoborrado lo hace lanzando el fichero creado por él:

%WinTmp%\__config****.bat

cuyo contenido es el siguiente:

:abx
ping 127.0.0.1 -n 2 > nul
del /A /F /Q “%Datos de Programa%\ QUBHwnpo.exe”
if exist “%Datos de Programa%\ QUBHwnpo.exe” goto abx
del /A /F /Q “%Datos de Programa%\ QUBHwnpo.exe”
El preanalisis de virustotal ofrece el siguiente informe:

MD5 2d68c2240c8bb2cc33fb00ede2b7a9cf
SHA1 2943374224632b09475d567092a5b202fb7109ed
Tamaño del fichero 298.5 KB ( 305664 bytes )
SHA256: 93fc8c76d80189cda16109bbe74af2d477fdd4d02f7e70f537e52e8774a04af6
Nombre: 2d68c224.exe
Detecciones: 16 / 59
Fecha de análisis: 2017-03-03 10:15:57 UTC ( hace 7 minutos )

total.com/es/file/93fc8c76d80189cda16109bbe74af2d477fdd4d02f7e70f537e52e8774a04af6/analysis/1488536157/

Dicha versión del ELISTARA 36.36 que lo detecta y elimina, estará disponible en nuestra web a partir del 4-3-2017

saludos

ms, 3-3-2017