FAKE ALERT: THINK POINT (ocultado por Rootkit)

Descubierto un nuevo Fake Alert ocultado por un RootKit de MBR, se trata del fichero HOTFIX.EXE, el cual presenta una pantalla azul de alerta del Think Point que lanza un escaneo y ofrece instalar el Falso antivirus “Microsoft Security Essential Alert”

Detección:

File name: hotfix.exe

Submission date: 2010-10-29 08:09:17 (UTC)

Current status: finished

Result: 24 /42 (57.1%)

VT Community 

malware

Safety score: 0.0%

Compact Print results Antivirus Version Last Update Result

AhnLab-V3 2010.10.29.00 2010.10.28 -

AntiVir 7.10.13.68 2010.10.29 TR/Fakealert.cgj.1

Antiy-AVL 2.0.3.7 2010.10.29 -

Authentium 5.2.0.5 2010.10.29 W32/FakeAlert.IG.gen!Eldorado

Avast 4.8.1351.0 2010.10.29 Win32:Adware-gen

Avast5 5.0.594.0 2010.10.29 Win32:Adware-gen

AVG 9.0.0.851 2010.10.28 Generic4.ATYH

BitDefender 7.2 2010.10.29 Trojan.FakeAlert.CGJ

CAT-QuickHeal 11.00 2010.10.26 -

ClamAV 0.96.2.0-git 2010.10.29 -

Comodo 6548 2010.10.29 UnclassifiedMalware

DrWeb 5.0.2.03300 2010.10.29 Trojan.FakeAV.542

eSafe 7.0.17.0 2010.10.28 Suspicious File

eTrust-Vet 36.1.7942 2010.10.29 Win32/FakeAV.QFP

F-Prot 4.6.2.117 2010.10.28 W32/FakeAlert.IG.gen!Eldorado

F-Secure 9.0.16160.0 2010.10.29 Trojan.FakeAlert.CGJ

Fortinet 4.2.249.0 2010.10.29 -

GData 21 2010.10.29 Trojan.FakeAlert.CGJ

Ikarus T3.1.1.90.0 2010.10.29 Trojan.Fakealert

Jiangmin 13.0.900 2010.10.29 -

K7AntiVirus 9.67.2856 2010.10.28 Riskware

Kaspersky 7.0.0.125 2010.10.29 -

McAfee 5.400.0.1158 2010.10.29 -

McAfee-GW-Edition 2010.1C 2010.10.29 Heuristic.BehavesLike.Win32.ModifiedUPX.F!87

Microsoft 1.6301 2010.10.29 Rogue:Win32/FakePAV

NOD32 5573 2010.10.29 probably a variant of Win32/Adware.FakeAntiSpy.L

Norman 6.06.10 2010.10.29 -

nProtect 2010-10-29.01 2010.10.29 Trojan/W32.Agent.525824.AT

Panda 10.0.2.7 2010.10.29 Suspicious file

PCTools 7.0.3.5 2010.10.29 -

Prevx 3.0 2010.10.29 Medium Risk Malware Dropper

Rising 22.71.03.02 2010.10.29 -

Sophos 4.59.0 2010.10.29 Troj/FakeAv-BWQ

Sunbelt 7162 2010.10.29 Trojan.Win32.Generic.pak!cobra

SUPERAntiSpyware 4.40.0.1006 2010.10.29 Trojan.Agent/Gen-LocalFake

Symantec 20101.2.0.161 2010.10.29 -

TheHacker 6.7.0.1.073 2010.10.28 -

TrendMicro 9.120.0.1004 2010.10.28 -

TrendMicro-HouseCall 9.120.0.1004 2010.10.29 -

VBA32 3.12.14.1 2010.10.28 -

ViRobot 2010.10.25.4110 2010.10.29 -

VirusBuster 12.70.10.0 2010.10.28 -

Additional informationShow all

MD5 : 473f1f6962a9f4f3c004e3795f4da91b

SHA1 : a8d8510003cd28de3790e70e6da4d80267f4f7ab

File size : 525824 bytes

Eliminación

Debido al Rootkit de MBR que impide ver el Fake Alert, aconsejamos seguir los siguientes pasos:

1.      Iniciar el sistema en “Modo seguro con funciones de red”

2.      Descargar de nuestra web la utilidad CopyMBR y ejecutarla, esta utilidad realizará una copia de la actual partición a un fichero.

3.      Descargar nuestra utilidad EliStarA al escritorio y ejecutarla.

4.      En el caso que no se solucione, enviar el fichero generado por la utilidad CopyMBR junto con el infosat.txt para controlar a virus@satinfo.es indicando que se ha detectado el Fake Alert Think Point

Pulse aquí para descargar CopyMBR

Pulse aquí para descargar EliStarA

SATINFO, SERVICIO DE ASISTENCIA TÉCNICA INFORMATICA   29 de Octubre de 2010