ANALISIS Y CONTROL DEL FINFISHER PUBLICADO POR WIKILEAKS

---

Tal y como indicamos en la reciente Noticia al respecto, Wikileaks ha publicado varios malwares que son los que utilizan las Agencias Gubernamentales de algunos paises para espionaje selectivo, y una vez descargadas pasamos a analizarlas y controlarlas en la siguiente version 30.60 del ELISTARA de hoy



El primero de ellos lo controlan ya 45 de los 55 AV del virustotal, como puede verse en el siguiente informe:





MD5 074919f13d07cd6ce92bb0738971afc7

SHA1 9f9a18e81e9b39bd2f047004b8e3b4cb0fb505c9

Tamaño del fichero 771.5 KB ( 790016 bytes )

SHA256: f827c92fbe832db3f09f47fe0dcaafd89b40c7064ab90833a1f418f2d1e75e8e

Nombre: ia.dat

Detecciones: 45 / 55

Fecha de análisis: 2014-09-16 10:12:33 UTC ( hace 52 minutos )



0 22



Antivirus Resultado Actualización

AVG PSW.Agent.AYBH.dropper 20140916

AVware Trojan.Win32.Generic!BT 20140916

Ad-Aware Backdoor.Generic.650950 20140916

Agnitum Backdoor.Agent!ejs1Q0FZqxs 20140916

AhnLab-V3 Win-Trojan/Seint.790016 20140916

Antiy-AVL Trojan/Win32.Yurn 20140916

Avast Win32:Dropper-gen 20140916

Avira TR/Crypt.XPACK.Gen3 20140916

Baidu-International Backdoor.Win32.Yurn.aWR 20140916

BitDefender Backdoor.Generic.650950 20140916

Bkav W32.Cloddbc.Trojan.eb56 20140915

ClamAV Trojan.Agent-247743 20140915

Comodo TrojWare.Win32.Trojan.Agent.Gen 20140916

DrWeb Trojan.Inject1.8894 20140916

ESET-NOD32 Win32/Belesak.A 20140916

Emsisoft Backdoor.Generic.650950 (B) 20140916

F-Secure Trojan-Spy:W32/FinSpy.P 20140916

Fortinet W32/Malware_fam.NB 20140916

GData Backdoor.Generic.650950 20140916

Ikarus Trojan-Spy.FinSpy 20140916

Jiangmin Trojan/Menti.dke 20140915

K7AntiVirus Riskware ( 0015e4f01 ) 20140915

K7GW Riskware ( 0015e4f01 ) 20140915

Kaspersky Backdoor.Win32.Yurn.a 20140916

Malwarebytes Spyware.InfoStealer 20140916

McAfee RDN/Generic BackDoor!zu 20140916

McAfee-GW-Edition BehavesLike.Win32.Expiro.bc 20140916

MicroWorld-eScan Backdoor.Generic.650950 20140916

Microsoft Trojan:Win32/Yurn.A 20140916

NANO-Antivirus Trojan.Win32.Menti.daocd 20140916

Norman Suspicious_Gen2.MRXNL 20140915

Panda Trj/CI.A 20140916

Qihoo-360 Win32/Trojan.Dropper.c9f 20140916

Rising PE:Trojan.Win32.Generic.12E554AF!317019311 20140915

Sophos Troj/Mdrop-EFP 20140916

Symantec Backdoor.Finfish 20140916

Tencent Win32.Backdoor.Yurn.Eer 20140916

TheHacker Trojan/Injector.ikw 20140915

TrendMicro TROJ_GEN.R03AC0EIF14 20140916

TrendMicro-HouseCall TROJ_GEN.R03AC0EIF14 20140916

VBA32 Backdoor.Yurn.2641 20140916

VIPRE Trojan.Win32.Generic!BT 20140916

ViRobot Trojan.Win32.Agent.790016.A 20140916

Zillya Trojan.Injector.Win32.165373 20140915

nProtect Backdoor.Generic.650950 20140916





________





El segundo de los ficheros descargados , mas de lo mismo, ya en esta caso con 47 de 55 los que lo controlan





MD5 1d8ea40a41988b9c3db9eff5fce3abe5

SHA1 58efd5f3994a4c3a42590b1c24032b89c4ecedda

Tamaño del fichero 619.5 KB ( 634368 bytes )

SHA256: 0b465877a998a993a64a146c80beaea2adf8e854644709706c6173a853ec8dba

Nombre: finfisher.2.exe.bin

Detecciones: 47 / 55

Fecha de análisis: 2014-09-16 08:23:28 UTC ( hace 2 horas, 44 minutos )



0 13





Antivirus Resultado Actualización

AVG PSW.Agent.AYBH.dropper 20140916

AVware Trojan.Win32.Generic!BT 20140916

Ad-Aware Backdoor.Generic.650950 20140916

Agnitum Trojan.Menti!KepLgSqXjDA 20140916

AhnLab-V3 Win-Trojan/Seint.634368 20140916

Antiy-AVL Trojan/Win32.Yurn 20140916

Avast Win32:Dropper-gen 20140916

Avira TR/Crypt.XPACK.Gen3 20140916

Baidu-International Trojan.Win32.Yurn.aY 20140916

BitDefender Backdoor.Generic.650950 20140916

Bkav W32.Clod3ad.Trojan.3caf 20140915

CAT-QuickHeal TrojanDropper.Yurn.r3 20140916

ClamAV Trojan.Agent-247743 20140915

Comodo TrojWare.Win32.Trojan.Agent.Gen 20140916

DrWeb Trojan.Inject1.8894 20140916

ESET-NOD32 Win32/Belesak.A 20140916

Emsisoft Backdoor.Generic.650950 (B) 20140916

F-Secure Trojan-Spy:W32/FinSpy.P 20140916

Fortinet W32/Dx.XTT!tr 20140916

GData Backdoor.Generic.650950 20140916

Ikarus Trojan-PWS.YUS 20140916

Jiangmin Trojan/Menti.dke 20140915

K7AntiVirus Trojan ( 002a36e61 ) 20140915

K7GW Trojan ( 002a36e61 ) 20140915

Kaspersky Trojan-Dropper.Win32.Yurn.a 20140916

Kingsoft Win32.Troj.Generic.(kcloud) 20140916

Malwarebytes Spyware.InfoStealer 20140916

McAfee RDN/Suspicious.bfr!bh 20140916

McAfee-GW-Edition BehavesLike.Win32.Expiro.jc 20140916

MicroWorld-eScan Backdoor.Generic.650950 20140916

Microsoft Trojan:Win32/Yurn.A 20140916

NANO-Antivirus Trojan.Win32.Menti.daocd 20140916

Norman Suspicious_Gen2.KVISG 20140915

Panda Trj/CI.A 20140915

Qihoo-360 Win32/Trojan.767 20140916

Rising PE:Worm.VBInjectEx!1.99E6 20140915

Sophos Troj/Mdrop-EFP 20140916

Symantec Trojan.Gen 20140916

Tencent Win32.Trojan-dropper.Yurn.Eaxy 20140916

TheHacker Trojan/Menti.hty 20140915

TrendMicro TROJ_SPNR.30FT12 20140916

TrendMicro-HouseCall TROJ_SPNR.30FT12 20140916

VBA32 Backdoor.Yurn.2641 20140916

VIPRE Trojan.Win32.Generic!BT 20140916

ViRobot Dropper.A.Yurn.634368 20140916

Zillya Dropper.Yurn.Win32.1 20140915

nProtect Backdoor/W32.Agent.634368 20140915







________





Y los ultimos tres ficheros descargados ofrecen 10, 16 y 25 detecciones respectivamente:







MD5 9568307f1bada3b2e083f6d68adb0358

SHA1 85ccfa4517e933843c2df41dc19ebdc2c0b3c037

Tamaño del fichero 25.5 KB ( 26112 bytes )

SHA256: eaceeaf01994cc8fe3d17eb3a668a344c5f7490b697ec2c07587e141a6473069

Nombre: bundler.exe

Detecciones: 10 / 55

Fecha de análisis: 2014-09-15 16:34:37 UTC ( hace 18 horas, 38 minutos )



0 1





Antivirus Resultado Actualización

AVG Win32/DH{gRKBEwNQgQccUxVRCg} 20140915

Avira TR/Injector.26112.7 20140915

Comodo UnclassifiedMalware 20140915

ESET-NOD32 a variant of Win32/Injector.IKW 20140915

Fortinet W32/IKW!tr 20140915

Ikarus Trojan-PWS.YUS 20140915

K7AntiVirus Trojan ( 002a36e61 ) 20140915

K7GW Trojan ( 002a36e61 ) 20140915

McAfee Artemis!9568307F1BAD 20140915

McAfee-GW-Edition BehavesLike.Win32.Backdoor.mm 20140915







el segundo de los tres ultimos ofrece 16 detecciones:





MD5 09c9bcb60cd3da0da1a15a9869680021

SHA1 1eb1c408a63891f617dade5eb7298757fc08aa02

Tamaño del fichero 569.0 KB ( 582656 bytes )

MD5 09c9bcb60cd3da0da1a15a9869680021

SHA1 1eb1c408a63891f617dade5eb7298757fc08aa02

SHA256 8439c21b192da34ba99f1f5a801a030a374a3ba8f8032057ccf6778b91f35fa9

ssdeep6144:PX/VOCWQf1ML0PlVyQLJX7PhoMGGGGGGGGGGbGGGGGGGGGG6GG/DGXxeXJE85PmR:nV2Qf14aMQF1KHjlex1kfgjdw4n

authentihash 1e128c7c350048dc63b05ba490a92b837bc08335bdc7272d29aad0a9b4f567bd

imphash 91ef083650148b112b02f00ebe3b1d03

Tamaño del fichero 569.0 KB ( 582656 bytes )



SHA256: 8439c21b192da34ba99f1f5a801a030a374a3ba8f8032057ccf6778b91f35fa9

Nombre: bundledoc.exe

Detecciones: 16 / 55

Fecha de análisis: 2014-09-15 16:34:25 UTC ( hace 18 horas, 38 minutos )



0 1





Antivirus Resultado Actualización

AVG Win32/DH{gRKBEwNQgQccUxVRCg} 20140915

Ad-Aware Trojan.GenericKD.1862038 20140915

Avira TR/Injector.582656.1 20140915

BitDefender Trojan.GenericKD.1862038 20140915

Comodo UnclassifiedMalware 20140915

ESET-NOD32 a variant of Win32/Injector.IKW 20140915

Emsisoft Trojan.GenericKD.1862038 (B) 20140915

Fortinet W32/IKW!tr 20140915

GData Trojan.GenericKD.1862038 20140915

Ikarus Trojan-PWS.YUS 20140915

K7AntiVirus Trojan ( 002a36e61 ) 20140915

K7GW Trojan ( 002a36e61 ) 20140915

McAfee Artemis!09C9BCB60CD3 20140915

McAfee-GW-Edition BehavesLike.Win32.Almanahe.hm 20140915

MicroWorld-eScan Trojan.GenericKD.1862038 20140915

Qihoo-360 HEUR/QVM41.1.Malware.Gen 20140915



y el tercero el virustotal ofrece actualmenet 25 detecciones:







MD5 99e62264dd28e84e6907914f48bb7363

SHA1 b97759b38a7290faba923d19e35f3753fc2c78f7

Tamaño del fichero 166.0 KB ( 169984 bytes )

SHA256: 6d12f1eecf4027df1c9307c56a2047b2ba4cdb2702560af0d7508f9a7afd0614

Nombre: buildx.exe

Detecciones: 25 / 55

Fecha de análisis: 2014-09-16 08:22:35 UTC ( hace 3 horas )



0 1





Antivirus Resultado Actualización

AVG SHeur2.CCRI 20140916

Ad-Aware Trojan.GenericKD.1862104 20140916

Antiy-AVL Trojan/Win32.Unknown 20140916

Avast Win32:Malware-gen 20140916

Avira TR/Crypt.XPACK.Gen 20140916

BitDefender Trojan.GenericKD.1862104 20140916

Comodo UnclassifiedMalware 20140916

ESET-NOD32 a variant of Win32/Belesak.A 20140916

Emsisoft Trojan.GenericKD.1862104 (B) 20140916

F-Secure Trojan.GenericKD.1862104 20140916

Fortinet W32/Generic.A!tr 20140916

GData Trojan.GenericKD.1862104 20140916

Ikarus Trojan-PWS.YUS 20140916

K7AntiVirus Trojan ( 0038291d1 ) 20140915

K7GW Trojan ( 0038291d1 ) 20140915

Kaspersky HEUR:Trojan.Win32.Generic 20140916

McAfee Artemis!99E62264DD28 20140916

McAfee-GW-Edition BehavesLike.Win32.Virut.cc 20140916

MicroWorld-eScan Trojan.GenericKD.1862104 20140916

NANO-Antivirus Trojan.Win32.PEF.dfdscn 20140916

Panda Trj/Chgt.F 20140915

Qihoo-360 HEUR/Malware.QVM06.Gen 20140916

Sophos Mal/Generic-S 20140916

Tencent Win32.Trojan.Generic.Hxgg 20140916

VBA32 Trojan.Genome.on 20140916







Todas estas variantes son controladas a partir del ELISTARA 30.670, que estará disponible en nuestra web a partir de las 19 h CEST de hoy





saludos



ms, 16-9-2014