Nueva variante Adware.SafeSurf, sospechoso de visualizar paginas en árabe

Buscando los causantes de una anomalia en el servidor de un cliente, hemos visto con el SPROCES, que ejecutaba dos ficheros sospechosos los cuales con virustotal ofrecen estas detecciones:
SHA256: a57f693b72a4bbbc8820344252438df8e857a9a88636bb33c17192f27e01e9d2
SHA1: b15bd278955d5f38da9a86a1742e3ef853fbee2d
MD5: 5c06267c3128a309f80c247e3e15063a
Tamaño: 347.0 KB ( 355328 bytes )
Nombre: safesurf.exe
Tipo: Win32 EXE
Detecciones: 7 / 43
Fecha de análisis: 2012-11-20 11:59:42 UTC ( hace 0 minutos )

Antivirus Resultado Actualización
Agnitum – 20121118
AhnLab-V3 – 20121118
AntiVir ADWARE/Adware.Gen 20121119
Antiy-AVL – 20121118
Avast Win32:SafeSurf [PUP] 20121119
AVG Skodna.Generic.AFI 20121119
BitDefender – 20121119
ByteHero – 20121116
CAT-QuickHeal – 20121119
ClamAV – 20121119
Commtouch – 20121119
Comodo – 20121119
DrWeb – 20121119
Emsisoft Application.Generic.410219 (B) 20121119
eSafe – 20121115
ESET-NOD32 a variant of Win32/Adware.SafeSurf.AC 20121119
F-Prot – 20121119
F-Secure – 20121119
Fortinet – 20121119
GData – 20121119
Ikarus – 20121119
Jiangmin – 20121119
K7AntiVirus – 20121116
Kaspersky – 20121119
Kingsoft – 20121112
McAfee – 20121119
McAfee-GW-Edition – 20121119
Microsoft – 20121119
MicroWorld-eScan – 20121119
Norman – 20121119
nProtect – 20121119
Panda – 20121119
Rising – 20121119
Sophos – 20121119
SUPERAntiSpyware – 20121119
Symantec WS.Reputation.1 20121119
TheHacker – 20121118
TotalDefense – 20121118
TrendMicro – 20121119
TrendMicro-HouseCall – 20121119
VBA32 – 20121119
VIPRE Trojan.Win32.Generic!BT 20121119
ViRobot – 20121119
__________
y el otro:

SHA256: 7b18942b79e7871919917cce5adb8ee47048ea98d0df273cfb8b2275ca7ef639
SHA1: da1d20a234e8a40dee0cd936c6aa3f21dba745a2
MD5: db069e82a6cd67b88e83efe5a34d025b
Tamaño: 21.0 KB ( 21504 bytes )
Nombre: surfguard.exe
Tipo: Win32 EXE
Detecciones: 2 / 42
Fecha de análisis: 2012-11-20 12:04:02 UTC ( hace 0 minutos )

Antivirus Resultado Actualización
Agnitum – 20121118
AhnLab-V3 – 20121118
AntiVir – 20121119
Antiy-AVL – 20121118
Avast Win32:PUP-gen [PUP] 20121119
AVG – 20121119
BitDefender – 20121119
ByteHero – 20121116
CAT-QuickHeal – 20121119
ClamAV – 20121119
Commtouch – 20121119
Comodo – 20121119
DrWeb – 20121119
Emsisoft – 20121119
eSafe – 20121115
ESET-NOD32 a variant of Win32/Adware.SafeSurf.AC 20121119
F-Prot – 20121119
Fortinet – 20121119
GData – 20121119
Ikarus – 20121119
Jiangmin – 20121119
K7AntiVirus – 20121116
Kaspersky – 20121119
Kingsoft – 20121112
McAfee – 20121119
McAfee-GW-Edition – 20121119
Microsoft – 20121119
MicroWorld-eScan – 20121119
Norman – 20121119
nProtect – 20121119
Panda – 20121119
Rising – 20121119
Sophos – 20121119
SUPERAntiSpyware – 20121119
Symantec – 20121119
TheHacker – 20121118
TotalDefense – 20121118
TrendMicro – 20121119
TrendMicro-HouseCall – 20121119
VBA32 – 20121119
VIPRE – 20121119
ViRobot – 20121119
Mientras monitorizamos su comportamiento y la de otros sospechosos ubicados en la misma ruta,añadimos su control y eliminacion en el ELISTARA 26.58 de hoy, con los que proceda segun los que recibamos.

Cabe indicar que poder añadir .VIR y copiarlos para enviarlos no ha sido tarea fácil, pues ha requerido arrancar con LIVECD para ello, ya que ni en MODO SEGURO ha sido suficiente !

saludos

ms, 20-11-2012