MAIL MASIVO MALICIOSO ANEXANDO FICHERO ZIP QUE CONTIENE DOWNLOADER QUE INSTALA EL RANSOMWARE LOCKY

Se está recibiendo masivamente un mail malicioso que anexa fichero empaquetado ZIP cuyo nombre utiliza en parte el del destinatario: <destinatario>_BEC3B353.zip

Su desempaquetado genera 4 ficheros JS que son downloaders del ransomware LOCKY

El mail en cuestión presenta estas características:
___________

Asunto: Re:
De: «Granville Maynard» <MaynardGranville5531@telkomsa.net>
Fecha: 18/05/2016 4:07
Para: <DESTINATARIO>

hi <DESTINATARIO>,
Please consult the attached files, sign it and send it back to me.

Regards,

Granville Maynard
anexado: <destinatario>_BEC3B353.zip

____________
Dichos ficheros desempaquetados .JS y los EXE que ellos generan con el LOCKY, pasan a ser controlados especificamente a partir del ELISTARA 34.57 de hoy
El preanalisis de virustotal de uno de estos JS ofrece el siguiente informe:

MD5 f9b39fae95340ea7ee29e5136a5a56d4
SHA1 49b86a62f2e5b4332d98df88181ca9af4658f577
Tamaño del fichero 412.9 KB ( 422838 bytes )
SHA256: 414245d24a974231bef7907a32f648fedebd0e522c56e98419ed250998957434
Nombre: history_1408 – 1.js
Detecciones: 6 / 57
Fecha de análisis: 2016-05-18 07:24:06 UTC ( hace 0 minutos )
0 1
Antivirus Resultado Actualización
Cyren JS/Locky.AF 20160518
F-Prot JS/Locky.AF 20160518
NANO-Antivirus Trojan.Script.Locky.ecathk 20160518
Qihoo-360 trojan.js.downloader.1 20160518
Rising Trojan.DL-Obfus/JS!1.A509 20160518
Tencent Js.Trojan.Raas.Auto 20160518

Como se ve, aun son pocos los AV que lo detectan, al ser muy reciente.

Pasmos a enviar muestra tanto a McAfee como a Kaspersky para que añadan su control en proximas versiones de sus AV

Dicha versión del ELISTARA 34.57 que los detecta y elimina, estará disponible en nuestra web a partir de las 18 h CEST de hoy
saludos

ms, 18-5-2016