NUEVA VARIANTE DE MALWARE KOVTER QUE SE INSTALA ELIMINANDO EL FICHERO QUE LO GENERA

---

Una nueva variante de malware que desaparece al ser ejecutado, pero que deja un SCRIPT que se lanza desde un O4 , no se puede eliminar facilmente, habiendo tenido que recurrir manualmente a la eliminacion total de la clave.



Aparte instala el "KB968930" que es un paquete para Windows Management Framework Core que incluye Windows PowerShell 2.0 y Windows Remote Management (WinRM) 2.0.



Ello nos apareció al monitorizar el fichero "FedEx_000642040.doc.js" que controlamos con el ELISTARA como DownLoader.JS.Nemucod



A partir del ELISTARA 32.60 se detecta dicho fichero, si bien su eliminación requiere participación manual del usuario, y mucha suerte !



El preanalisis de virustotal ofrece el siguiente informe



SHA256: 7114659c95a4f0206bc28ef029d5c2cdfe2a7365d6a609b2c46e748e537e3796

File name: 93753958.Exe

Detection ratio: 25 / 55

Analysis date: 2015-06-30 08:43:30 UTC ( 16 minutes ago )



0 1



Antivirus Result Update

ALYac Gen:Variant.Mikey.17093 20150630

AVG Pakes.QJO 20150630

AVware Trojan.Win32.Starter 20150630

Ad-Aware Gen:Variant.Mikey.17093 20150630

Agnitum Trojan.DL.Dofoil!YERUqVJQU0I 20150629

AhnLab-V3 Trojan/Win32.Kovter 20150630

Antiy-AVL Trojan/Win32.Dofoil 20150630

Arcabit Trojan.Mikey.D42C5 20150630

Avast Win32:Malware-gen 20150630

Avira TR/Crypt.ZPACK.57161 20150630

BitDefender Gen:Variant.Mikey.17093 20150630

DrWeb Trojan.DownLoader14.5354 20150630

ESET-NOD32 Win32/Kovter.D 20150630

Emsisoft Gen:Variant.Mikey.17093 (B) 20150630

F-Secure Trojan-Spy:W32/Ranbyus.A 20150630

GData Gen:Variant.Mikey.17093 20150630

K7AntiVirus Trojan ( 004c61ee1 ) 20150630

K7GW Trojan ( 004c61ee1 ) 20150630

Kaspersky Trojan-Downloader.Win32.Dofoil.bral 20150630

Malwarebytes Spyware.Password 20150630

MicroWorld-eScan Gen:Variant.Mikey.17093 20150630

Microsoft Trojan:Win32/Kovter!rfn 20150630

NANO-Antivirus Trojan.Win32.Dofoil.dtgjlz 20150630

Panda Trj/Genetic.gen 20150629

VIPRE Trojan.Win32.Starter 20150630





Y el script que genera , para quien pueda interesar, empieza asi:



WXrYW8HdRWiOXXrzXK9Oel="8DubZxqzw7gvbzzQNDdbiFTcg0Omn1pnh8kIuV9c5pvS5CEBGTo6ifWVqOnpAwmzRgEyfjOe1g2KYL10NMrrJGHlNUKv3UR";...



Informamos de ello deseando que no tengan que usar dicha información, por la dificultad de eliminación.



saludos



ms, 30-6-2015