Nuevo FAKE ALERT que presenta pantalla WINDOWS POLICE PRO y no deja hacer nada !

---

Un nuevo troyano FAKE ALERT con el nombre de WINDOWS POLICE PRO que es temible ...


Acaba de llegarnos incidencia de cliente que está "frito" al no poder ejecutar nada ni trabajar en la máquina infectada. Siempre le aparece la pantalla de WINDOWS POLICE PRO !


Vistos con el SProces dos ficheros sospechosos, el analisis del primero ya nos ofrece:

File svchast.zip received on 2009.10.16 12:12:45 (UTC)

Result: 11/41 (26.83%)

Antivirus Version Last Update Result
a-squared 4.5.0.41 2009.10.16 -
AhnLab-V3 5.0.0.2 2009.10.16 -
AntiVir 7.9.1.35 2009.10.16 TR/Crypt.XPACK.Gen
Antiy-AVL 2.0.3.7 2009.10.16 -
Authentium 5.1.2.4 2009.10.16 -
Avast 4.8.1351.0 2009.10.14 -
AVG 8.5.0.420 2009.10.16 -
BitDefender 7.2 2009.10.16 -
CAT-QuickHeal 10.00 2009.10.16 (Suspicious) - DNAScan
ClamAV 0.94.1 2009.10.16 -
Comodo 2620 2009.10.16 Heur.Pck.EXECryptor
DrWeb 5.0.0.12182 2009.10.16 -
eSafe 7.0.17.0 2009.10.15 -
eTrust-Vet 35.1.7071 2009.10.16 -
F-Prot 4.5.1.85 2009.10.15 -
F-Secure 8.0.14470.0 2009.10.16 Trojan.Win32.FraudPack.vws
Fortinet 3.120.0.0 2009.10.16 -
GData 19 2009.10.16 -
Ikarus T3.1.1.72.0 2009.10.16 Trojan.Win32.FakeScanti
Jiangmin 11.0.800 2009.10.16 -
K7AntiVirus 7.10.872 2009.10.16 -
Kaspersky 7.0.0.125 2009.10.16 Trojan.Win32.FraudPack.vws
McAfee 5772 2009.10.15 -
McAfee+Artemis 5772 2009.10.15 -
McAfee-GW-Edition 6.8.5 2009.10.16 Heuristic.BehavesLike.Exploit.CodeExec.EOLO
Microsoft 1.5101 2009.10.16 Trojan:Win32/FakeScanti
NOD32 4514 2009.10.16 -
Norman 6.03.02 2009.10.16 -
nProtect 2009.1.8.0 2009.10.15 -
Panda 10.0.2.2 2009.10.15 -
PCTools 4.4.2.0 2009.10.15 Packed/Execryptor
Prevx 3.0 2009.10.16 High Risk Cloaked Malware
Rising 21.51.43.00 2009.10.16 -
Sophos 4.46.0 2009.10.16 -
Sunbelt 3.2.1858.2 2009.10.15 -
Symantec 1.4.4.12 2009.10.16 -
TheHacker 6.5.0.2.043 2009.10.15 -
TrendMicro 8.950.0.1094 2009.10.16 -
VBA32 3.12.10.11 2009.10.15 -
ViRobot 2009.10.16.1988 2009.10.16 -
VirusBuster 4.6.5.0 2009.10.15 Packed/Execryptor
Additional information
File size: 402432 bytes
MD5...: bce2878ea22b0a365731b68ac7f8c2b9
SHA1..: 99e3994b78000b0f2225a1343f331668ed27d36d


Vamos a analizar el otro y los monitorizaremos, para pasar a controlarlos

Seguiremos informando

saludos

ms, 16-10-2009



CONTINUACION:

El otro fichero es el propiamente fake alert : Windows_Police_Pro.exe

y la visualización de la pantalla de trabajo es :



Dicen que una imagen vale mas que 1000 palabras, pues si lo ven venir... dejenlo pasar de largo !

Es de mas de 9 MB y ya vamos a cerrar por hoy, lo controlaremos con la versión del lunes del ElistarA, 19.48 , de momento si alguien lo ha recibido, que añada extension .VIR a los dos ficheros que hemos visto sospechosos con el SProces:

SVCHAST.EXE y Windows_Police_Pro.exe

y tras reiniciar ya no se pondrán en uso.

Luego ya se eliminarán y restaurarán las claves con el ElistarA indicado

Y buen finde ! ms.