NUEVA VARIANTE DE RANSOMWARE SAGE (AÑADE .SAGE A LOS FICHEROS CODIFICADOS)

---

Siguen llegando nuevas variantes de este ransomware que se autoborra una vez terminado el cifrado, lanzando este .bat:



:abx

ping 127.0.0.1 -n 2 > nul

del /A /F /Q "%Datos de Programa%\ QUBHwnpo.exe"

if exist "%Datos de Programa%\ QUBHwnpo.exe" goto abx

del /A /F /Q "%Datos de Programa%\ QUBHwnpo.exe"



Si bien mientras realiza las siguientes acciones:



- Queda residente.

- Codifica ficheros BAT, BMP, GIF, JPG, PNG, TXT, WAV, XML, etc...

de todas las unidades mapeadas (respetando %WinDir%)

A los ficheros codificados les añade la extensión ".sage"

- Asocia la extension ".sage" a un nuevo tipo de archivo "sage.notice"



Esta nueva variante la pasamos a controlar a partir del ELISTARA 36.26 de hoy



El preanalisis de virustotal ofrece el siguiente informe:



MD5 b8e106b35d64856340a171e21096d5d9

SHA1 6e485a83528198079873efdaa8f6ecdb98391b5b

Tamaño del fichero 231.0 KB ( 236544 bytes )

SHA256:

f736e47923077b2e6c4b64c34e26240d334db9f3a067052e880e38af9dbfd068

Nombre:

b8e106b3.exe

Detecciones:

37 / 59

Fecha de análisis:

2017-02-20 08:41:30 UTC ( hace 1 minuto )



https://www.virustotal.com/es/file/f736e47923077b2e6c4b64c34e26240d334db9f3a067052e880e38af9dbfd068/analysis/1487580090/



Dicha versión del ELISTARA 36.26 que los detecta y elimina, estará disponible en nuestra web a partir del 21-2 prox.



saludos



ms, 20-2-2017