Foros de Windows y Seguridad Informática: Nuevo malware .EXE con icono de carpeta written by marga

Nuevo malware .EXE con icono de carpeta


De entre las muchas muestras recibidas hoy, destaco una por su malicia dentro de la picaresca dado que es un .EXE que se esconde oculto con icono de carpeta, lo cual lo hace muy peligroso si no se tiene configurado que se vean las extensiones ya que al verlo con apariencia de carpeta, al dar doble click sobre él, para entrar en ella, se ejecuta el fichero malware con lo que se infecta el ordenador, salvo que el antivirus lo conozca y lo impida.

Además el nombre que utiliza es el de NOTEPAD, que acostumbramos a identificar como Bloc de Notas, muy normal de utilizar...



Una vez analizada resulta ser identificada con un nombre diferente por casi cada antivirus:

File NOTEPAD.EXE received on 2009.06.29 11:58:04 (UTC)
Current status: Loading ... queued waiting scanning finished NOT FOUND STOPPED

Result: 31/41 (75.61%)

Antivirus Version Last Update Result
a-squared 4.5.0.18 2009.06.29 Trojan.Peed!IK
AhnLab-V3 5.0.0.2 2009.06.29 -
AntiVir 7.9.0.199 2009.06.29 TR/Dropper.Gen
Antiy-AVL 2.0.3.1 2009.06.29 -
Authentium 5.1.2.4 2009.06.29 W32/Nuj.A.gen!Eldorado
Avast 4.8.1335.0 2009.06.28 Win32:Spyware-gen
AVG 8.5.0.339 2009.06.29 SHeur2.MIH
BitDefender 7.2 2009.06.29 Trojan.Spy.Agent.NXS
CAT-QuickHeal 10.00 2009.06.29 Win32.Worm.Autorun.DM.5
ClamAV 0.94.1 2009.06.29 -
Comodo 1485 2009.06.29 Unclassified Malware
DrWeb 5.0.0.12182 2009.06.29 Win32.HLLW.Autoruner.6234
eSafe 7.0.17.0 2009.06.28 Win32.Autorun.worm.d
eTrust-Vet 31.6.6588 2009.06.29 -
F-Prot 4.4.4.56 2009.06.29 W32/Nuj.A.gen!Eldorado
F-Secure 8.0.14470.0 2009.06.29 Trojan-Downloader.Win32.VB.ked
Fortinet 3.117.0.0 2009.06.29 W32/AutoRun.DQ!worm
GData 19 2009.06.29 Trojan.Spy.Agent.NXS
Ikarus T3.1.1.64.0 2009.06.29 Trojan.Peed
Jiangmin 11.0.706 2009.06.29 -
K7AntiVirus 7.10.768 2009.06.19 Trojan-Downloader.Win32.VB
Kaspersky 7.0.0.125 2009.06.29 Trojan-Downloader.Win32.VB.ked
McAfee 5660 2009.06.28 W32/Autorun.worm.dq.gen
McAfee+Artemis 5660 2009.06.28 W32/Autorun.worm.dq.gen
McAfee-GW-Edition 6.7.6 2009.06.29 Trojan.Dropper.Gen
Microsoft 1.4803 2009.06.29 Worm:Win32/Regul.B
NOD32 4195 2009.06.29 probably a variant of Win32/Agent
Norman 6.01.09 2009.06.26 -
nProtect 2009.1.8.0 2009.06.29 -
Panda 10.0.0.14 2009.06.29 Adware/AccesMembre
PCTools 4.4.2.0 2009.06.28 -
Prevx 3.0 2009.06.29 -
Rising 21.36.02.00 2009.06.29 Worm.Win32.Autorun.eyr
Sophos 4.43.0 2009.06.29 Mal/EncPk-GF
Sunbelt 3.2.1858.2 2009.06.28 Bulk Trojan
Symantec 1.4.4.12 2009.06.29 W32.SillyFDC
TheHacker 6.3.4.3.356 2009.06.27 Trojan/Downloader.VB.ked
TrendMicro 8.950.0.1094 2009.06.29 TROJ_VB.ITI
VBA32 3.12.10.7 2009.06.29 Worm.Win32.AutoRun.tbb
ViRobot 2009.6.29.1810 2009.06.29 Trojan.Win32.Downloader.1513455
VirusBuster 4.6.5.0 2009.06.28 -
Additional information
File size: 1513455 bytes
MD5...: 4316af56fabb8c130b76884a7b47d716
SHA1..: 32f4138d324ab0cecfb7c9786ad021f0d438bcbc


Afortunadamente mas de un 75 % ya lo controlan, pero algunos conocidos como e-Trust, Norman, nProtect, VirusBuster, entre otros, les pasa desapercibido.

Como siempre, mucho cuidado ahí fuera !



NOTA: Aparte que se puede detectar y eliminar con el ELIMD5 entrando indistintamente las cadenas del MD5 o SHA1 indicadas em el analisis: MD5...: 4316af56fabb8c130b76884a7b47d716 o SHA1..: 32f4138d324ab0cecfb7c9786ad021f0d438bcbc
a partir del ELISTARA de hoy>18.91 lo pasamos a controlar como AUTORUN.DQ y añadimos que es de los virus que se propagan por pendrive. (Recomendamos vacunar con el ELIPEN ordenadores y pendrives)


FUENTE

Nuevas variantes de virus de pendrive que usan iconos de carpeta


Ayer informabamos de la detección de una nueva variante que utilizaba icono de carpeta para ser ejecutado involuntariamente, si no se tiene configurado windows para que muestre las extensiones de los ficheros, el cual ya pasamos a controlar como AUTORUN.DQ , pero es que hoy nos llegan otros dos que utilizan la misma argucia, los cuales pasamos a controlar a partir del ELISTARA de hoy, 18.92, pero hacemos especial mención de uno de ellos, el AUTORUN.O , por su picaresca de crear copias de sí mismo con diferentes nombres, usados por el sistema de Windows, además de crear dos procesos activos que vigilan su presencia y los regeneran si uno de ellos es eliminado:

Aparte, detiene el proceso del REGEDIT, e instala en el HOSTS redireccionbes de las URL de las principales casas antivirus para que no se pueda acceder a ellas:

127.0.0.1 avp.com
127.0.0.1 ca.com
127.0.0.1 customer.symantec.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 download.mcafee.com
127.0.0.1 f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 kaspersky-labs.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 mast.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 microsoft.com
127.0.0.1 my-etrust.com
127.0.0.1 nai.com
127.0.0.1 networkassociates.com
127.0.0.1 pandasoftware.com
127.0.0.1 rads.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 sophos.com
127.0.0.1 symantec.com
127.0.0.1 trendmicro.com
127.0.0.1 updates.symantec.com
127.0.0.1 update.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 viruslist.com
127.0.0.1 virustotal.com
127.0.0.1 www.avp.com
127.0.0.1 www.f-secure.com
127.0.0.1 www.grisoft.com
127.0.0.1 www.kaspersky.com
127.0.0.1 www.mcafee.com
127.0.0.1 www.microsoft.com
127.0.0.1 www.moneybookers.com
127.0.0.1 www.my-etrust.com
127.0.0.1 www.nai.com
127.0.0.1 www.networkassociates.com
127.0.0.1 www.pandasoftware.com
127.0.0.1 www.sophos.com
127.0.0.1 www.symantec.com
127.0.0.1 www.trendmicro.com
127.0.0.1 www.virustotal.com
127.0.0.1 u20.eset.com
127.0.0.1 u21.eset.com
127.0.0.1 u22.eset.com
127.0.0.1 u23.eset.com
127.0.0.1 u24.eset.com
127.0.0.1 89.202.157.135
127.0.0.1 89.202.157.136
127.0.0.1 89.202.157.137
127.0.0.1 89.202.157.138
127.0.0.1 89.202.157.139
127.0.0.1 u30.eset.com
127.0.0.1 u31.eset.com
127.0.0.1 u32.eset.com
127.0.0.1 u33.eset.com
127.0.0.1 u34.eset.com
127.0.0.1 u35.eset.com
127.0.0.1 u36.eset.com
127.0.0.1 u37.eset.com
127.0.0.1 u38.eset.com
127.0.0.1 u39.eset.com
127.0.0.1 u40.eset.com
127.0.0.1 u41.eset.com
127.0.0.1 u42.eset.com
127.0.0.1 u43.eset.com
127.0.0.1 u44.eset.com
127.0.0.1 u45.eset.com
127.0.0.1 u46.eset.com
127.0.0.1 u47.eset.com
127.0.0.1 u48.eset.com
127.0.0.1 u49.eset.com


Los ficheros que crea con su código vírico son los siguientes:

%WinDir%\ Regedit\ SVCHOST.EXE
%WinDir%\ SYSTEM.EXE
C:\ Autorun.inf
C:\ Setup.exe
C:\ Mi Musica.exe
C:\ Mis Documentos.exe
C:\ Mis Fotos.exe
C:\ Mis Imagenes.exe

Ni que decir tiene que la "Ingeniería social" de que las "carpetas" Mi Musica, Mis Documentos, Mis Fotos y Mis Imagenes, lancen el virus al pulsar doble click sobre ellas (son los ficheros, claro), consigue su propósito !


E instala una clave para que se lance en cada reinicio:


"Svchost"="C:\\Windows\\regedit\\svchost.exe"

Por supuesto que el ELISTARA corrige dichas entradas, restaura las claves modificadas y elimina los malwares creados por dicha variante,


Aparte este troyano infecta pendrives con el mismo, logrando propagar dicho malware a otros pendrives y ordenadores no protegidos con el ELIPEN.

Además de aconsejar configurar windows para que muestre las extensiones de los ficheros y para no ocultar los ficheros Hidden y de Sistema, recordamos la conveniencia de vacunar ordenadores y pendrives con el ELIPEN, para evitar la propagación de los virus de pendrive, tan abundantes y de moda hoy en día.


FUENTE

Hola

Que buen virus, osea, tiene muy buenas técnicas Stealth, y cualquiera puede caer sobre todo porque es una carpeta.

Estos piratas informáticos, no nos dejan en paz.
Gracias por la noticia Margi =D -

saludos, vitrox