NUEVA VARIANTE DE RANSOMWARE CRYPTOLOCKER AUN POCO CONTROLADO

---

Otra variante del Cryptolocker que segun nos ha indicado el usuario, ha llegado vía falso mail de Correos, con fichero :



carta_certificada_139651.scr



que pasaremos a controlarlo a partir del ELISTARA 32.84 del 1-9-2015



Como sea que McAfee aun no lo detecta, ya lo hemos enviado a dicho fabricante, para que añadan su control y eliminación, en la proxima version del VirusScan





El preanalisis de virustotal ofrece el siguiente informe:





MD5 6ba5dff75085f87a3e56becdabafbaad

SHA1 18f129dbbd4710b3a97613eb45beb3d8a1114d5a

File size 456.8 KB ( 467721 bytes )

SHA256: 3e8027cff9c198e2c3721efc666a3ff16edb05b7baf07eaebf99c06b5e504ba9

File name: otebyxex.exe

Detection ratio: 15 / 56

Analysis date: 2015-08-04 13:03:51 UTC ( 5 minutes ago )



0 1





Antivirus Result Update

Ad-Aware Gen:Variant.Symmi.54766 20150804

Arcabit Trojan.Symmi.DD5EE 20150804

Avira TR/Crypt.ZPACK.59219 20150804

BitDefender Gen:Variant.Symmi.54766 20150804

Bkav HW32.Packed.1622 20150804

DrWeb Tool.Siggen.10967 20150804

ESET-NOD32 Win32/Filecoder.DI 20150804

Emsisoft Gen:Variant.Symmi.54766 (B) 20150804

F-Secure Gen:Variant.Symmi.54766 20150804

GData Gen:Variant.Symmi.54766 20150804

Kaspersky Trojan-Ransom.Win32.Snocry.xm 20150804

Malwarebytes Trojan.Inject 20150804

MicroWorld-eScan Gen:Variant.Symmi.54766 20150804

Qihoo-360 HEUR/QVM07.1.Malware.Gen 20150804

Sophos Mal/Generic-S 20150804





Dicho fichero malware se ha instalado en C:\windows con extension .EXE pero icono de PDF, (para despistar a los usuarios)



Como pùede verse, Kaspersky ya lo detecta actualmente, y confiamos que McAfee lo haga en breve, gracias a la muestra que les hemos enviado.



De momento, al usuario afectado se le ha eliminado la infección a la vista del informe del SPROCES, procediendo a eliminar el fichero malicioso, que en este caso ha sido



C:\WINDOWS\otebyxex.exe



y eliminado, con el SPROCES, tambien la clave de lanzamiento del mismo:



O4 - HKLM\..\Run: "C:\WINDOWS\otebyxex.exe





Y, tras reiniciar, ya se ha podido conectar el ordenador infectado a la Red y proceder a restaurar los ficheros codificados desde la copia de seguridad.





Mucho cuidado con el falso Mail de Correos, con el que el Cryptolocker está atacando de nuevo con nuevas variantes !





saludos



ms, 4-8-2015