ULTIMO CERBER 4 QUE ACABAMOS DE RECIBIR Y PASAMOS A CONTROLAR CON EL ELISTARA

A partir del ELISTARA 36.44 de hoy, pasamos a controlar un último CERBER 4, aun calentito…

Al mismo tiempo recibimos de un usuario afectado, el fichero de descripción que le ha dejado en carpetas compartidas, donde tenía ficheros .HTA, JPEG y TXT, ahora cifrados, que dice así:

_____________________
CERBER RANSOMWARE

—

YOUR DOCUMENTS, PHOTOS, DATABASES AND OTHER IMPORTANT FILES HAVE BEEN ENCRYPTED!

—

The only way to decrypt your files is to receive the private key and decryption program.

To receive the private key and decryption program go to any decrypted folder,
inside there is the special file (*_READ_THIS_FILE_*) with complete instructions
how to decrypt your files.

If you cannot find any (*_READ_THIS_FILE_*) file at your PC, follow the instructions below:

—

1. Download “Tor Browser” from https://www.torproject.org/ and install it.

2. In the “Tor Browser” open your personal page here:

http://p27dokhpz2n7nvgr.onion/09D3-4E1C-0D6D-008C-1B94

Note! This page is available via “Tor Browser” only.

—

Also you can use temporary addresses on your personal page without using “Tor Browser”.

—

1. http://p27dokhpz2n7nvgr.16qpet.top/09D3-4E1C-0D6D-008C-1B94

2. http://p27dokhpz2n7nvgr.1jhnvt.top/09D3-4E1C-0D6D-008C-1B94

3. http://p27dokhpz2n7nvgr.1dsdm4.top/09D3-4E1C-0D6D-008C-1B94

4. http://p27dokhpz2n7nvgr.14udep.top/09D3-4E1C-0D6D-008C-1B94

5. http://p27dokhpz2n7nvgr.1aweql.top/09D3-4E1C-0D6D-008C-1B94

—

Note! These are temporary addresses! They will be available for a limited amount of time!

_________________
Como sea que McAfee lo detecta con su heuristica ARTEMIS , recordamos a todos los usuarios la conveniencia de configurar el nivel de la detección heuristica del VIRUSSCAN a nivel MUY ALTO, dado que en la última muestra recibida ya veiamos que la muestra analizada (la ultima recibida) solo se detectaba heuristicamente, por lo cual es muy importante configurarla adecuadamente.

ULTIMA DETECCION DE HOY:
McAfee Artemis!944A18CCC7F9 20170315

Ver análisis de virustotal:
total.com/es/file/91cad7acb2e36f5d9f00318a8df4a6d13fae4c2fbdfda6e60293f26b68a844ad/analysis/1489575177/

Recordamos que esta variante de CERBER 4, deja los ficheros cifrados con diferente nombre y extensión, (a diferencia de la anterior CERBER 3, donde dejaba su nombre) por ejemplo “R4GgQkDYXt.8fcf”, siendo los diez primeros digitos diferentes en cada fichero cifrado, correspondiendo a su nombre, y en cambio los 4 finales, donde debería haber la extensión del fichero, son fijos para cada ordenador/sistema operativo.

Mucho cuidado con este ransomware, que junto con el Cryptolocker, son los dos que actualmente están cifrando mas ficheros de internautas, y aunque algunos usuarios nos dicen que se han infectado navegando, si ya usan windows >7 con navegador actualizado, lo mas usual es que sea por ejecución de un fichero anexado a un mail, o acceso al enlace del mismo mail.

saludos

ms, 15-3-2017