CARACTERISTICAS DE LAS CONTINUAS NUEVAS VARIANTES DE LOS TROJAN EMOTET

De los cientos de TROJAN EMOTET que nos llegan a diario, y que vamos controlado en lo posible con las nuevas versiones diarias del ELISTARA, nos encontramos hoy con una nueva gama que cambia los nombres que utiliza para los ficheros que instala y utiliza en los siguientes reinicios.

El %nombre% cambia según sistema y variante del Bicho.
siendo (por orden de aparición)…

“unicodeboldina” (en Windows 7) o “wsmfacts” (en windows 8 64bits)
“stylesedge” (en Windows 7) o “initialecl” (en windows 8 64bits)
“soundsstarta” (en Windows 7) o “attribiowa” (en windows 8 64bits) o “bearstsd” (en windows XP)
“shooterdsm” (en Windows 7) o “mtpbtaccess” (en windows 8 64bits)
“impreadme” (en Windows 7) o “mapetl” (en windows 8 64bits)
“servdefine” (en Windows 7) o “daftmpl” (en windows 8 64bits)
“gluemheg” (en Windows 7) o “keyprompt” (en windows 8 64bits) o “targetssorting” (en windows XP)
“wlansvcfnc” (en Windows 7) o “contactjpn” (en windows 8 64bits) o “peekatreviews” (en windows XP)
…

Los que pasamos a controlar con el ELISTARA 41.37 de hoy se instalan con el nombre de wlansvcfnc.exe en windows 7, y el preanalisis de virustotal ofrece el siguiente informe:

https://www.virustotal.com/es/file/4281c9bb3ed9f77f3b9489419b811767558884d072d8411c425f8c2e00e373e4/analysis/1559054403/

Como se puede ver, algun anmtivirus lo considera BANKER, ademas de Emotet, y algun que otro, lo llama Downloader:

Si bien el nombre utilizado no solo varía con cada variantes, sino tambien con el sistema operativo empleado, como hemos visto en el apartado de mas arriba.

Y sirva este comentario para saber que continuamente van apareciendo nuevas variantes, con lo que su control y eliminación se vuelve cada vez mas compleja.

saludos

ms, 28-5-2019