{"id":1572,"date":"2016-05-31T11:17:18","date_gmt":"2016-05-31T09:17:18","guid":{"rendered":"http:\/\/www.satinfo.es\/noticies\/?p=1572"},"modified":"2016-05-31T11:17:18","modified_gmt":"2016-05-31T09:17:18","slug":"falso-mail-de-endesa-descarga-un-cryptolocker","status":"publish","type":"post","link":"https:\/\/www.satinfo.es\/noticies\/2016\/falso-mail-de-endesa-descarga-un-cryptolocker\/","title":{"rendered":"Falso mail de Endesa descarga un Cryptolocker"},"content":{"rendered":"

\u00a0<\/span><\/span><\/p>\n

Se est\u00e1 recibiendo masivamente una falsa factura de ENDESA que ofrece un enlace que descarga un ZIP que contiene un JS y este instala y ejecuta un EXE con el ransomware CRYPTOLOCKER<\/p>\n

Es similar al que hemos sufrido hasta ahora con el falso mail de CORREOS, y que a tantos usuarios ha afectado, ahora nos tememos que ser\u00e1 mas de lo mismo, a pesar de este aviso y de que hasta ENDESA est\u00e1 avisando al respecto.<\/p>\n

El mail que se recibe es del siguiente tipo:<\/p>\n


\n<\/p>\n

Al pulsar en la descarga, nos ofrece guardar la falsa factura (ENDESA_FACTURA.zip) en formato zip:<\/p>\n

\n


Este fichero zip lleva un JS que descarga y ejecuta el Cryptolocker<\/p>\n

Es muy importante NO PULSAR EN SUS ENLACES para evitar instalar dicha variante del CRYPTOLOCKER<\/p>\n

Desde el ELISTARA 34.65 de ayer ya controlamos variantes de este Cryptolocker, si bien vemos que est\u00e1n cambiando continuamente su c\u00f3digo y que nuevas variantes habr\u00e1n de ir siendo controladas a medida que las vayamos conociendo.<\/p>\n

MUCHO CUIDADO YA QUE NOS TEMEMOS PROVOQUE LA INFECCION Y CIFRADO DE MUCHOS ORDENADORES A PESAR DE QUE VAYAMOS CONTROLANDO LOS QUE VAYAN APARECIENDO.<\/p>\n

\nOfrecemos informe del prean\u00e1lisis de VIRUSTOTAL sobre una de las muestras actuales de dicho Cryptolocker de \u00abENDESA\u00bb<\/p>\n

\nMD5 ec11c3a1be57b62e7fbede4b01b79836<\/em>
\n SHA1 86e4d0d1f3e789ebed5f224dfa553c39e6c1243d<\/em>
\n Tama\u00f1o del fichero 353.7 KB ( 362189 bytes )<\/em><\/p>\n

SHA256: 3838e4d078bc3d1c9dcb436d03109c1c6f385ff0d8edf03634e42cc08255636c<\/em>
\n Nombre: ikazykab.exe<\/em>
\n Detecciones: 4 \/ 57<\/em>
\n Fecha de an\u00e1lisis: 2016-05-31 08:12:47 UTC ( hace 3 minutos )<\/em><\/p>\n

Antivirus Resultado Actualizaci\u00f3n<\/em>
\n Baidu Win32.Trojan.WisdomEyes.151026.9950.9994 20160530<\/em>
\n Kaspersky UDS:DangerousObject.Multi.Generic 20160531<\/em>
\n McAfee-GW-Edition BehavesLike.Win32.Dropper.fc 20160530<\/em>
\n Qihoo-360 HEUR\/QVM42.0.0000.Malware.Gen 20160531<\/em><\/p>\n

Como se ve actualmente lo controlan muy pocos antivirus, solo 4 de los 57 de virustotal, debido a la novedad del mismo y a los continuos cambios de las variantes que van implementando en el servidor desde donde descargan el ZIP con el JS que instala el EXE con el CRYPTOLOCKER<\/p>\n

Es importante recordar que, de sufrir el ataque de esta familia del CRYPTOLOCKER, cifra los ficheros de datos de las unidades compartidas, y que el virus queda en el ordenador donde se ha ejecutado el enlace contenido en el dichoso mail, queda infectado lanzando otra vez el virus cuando se reinicia, por lo que ANTES DE RESTAURAR LAS COPIAS DE SEGURIDAD debe eliminarse el virus del ordenador infectado.<\/p>\n

Para ello probar la \u00faltima versi\u00f3n de ELISTARA disponible en el ordenador infectado, y si no lo detecta, lanzar el SPROCES y pulsar el bot\u00f3n SALIR, lo cual generara un informe en C:\\SPROCLOG.TXT que podr\u00e1n enviarnos indicando que han sufrido dicho ataque, para que busquemos el fichero causante y su clave de lanzamiento, para pedir que nos lo env\u00eden como muestra a analizar, adem\u00e1s de aparcarlo a\u00f1adiendo .VIR a su extensi\u00f3n.<\/p>\n

Ya con el ELISTARA 34.65 de ayer empezamos a controlar las primeras variantes, por lo que aconsejamos probarlo, mientras no se disponga de una versi\u00f3n superior.<\/p>\n

El nuevo ELISTARA 34.66 de hoy, estar\u00e1 disponible a partir de las 18 h CEST, en el que incluiremos el control de todas las variantes que recibamos durante el d\u00eda.<\/p>\n

Aconsejamos que lean el siguiente art\u00edculo sobre los Ransomwares:<\/p>\n

https:\/\/www.satinfo.es\/blog\/2015\/62372\/<\/a><\/p>\n

\n


\nSATINFO<\/b><\/span><\/span><\/span>, <\/b><\/span><\/span>SERVICIO DE ASISTENCIA T\u00c9CNICA INFORMATICA<\/b><\/span><\/span> <\/b>31<\/b><\/span><\/span> de <\/b><\/span><\/span>Mayo<\/b><\/span><\/span> <\/b>de 201<\/b><\/span><\/span>6<\/b><\/span><\/span><\/span><\/p>\n","protected":false},"excerpt":{"rendered":"

\u00a0 Se est\u00e1 recibiendo masivamente una falsa factura de ENDESA que ofrece un enlace que descarga un ZIP que contiene un JS y este instala y ejecuta un EXE con el ransomware CRYPTOLOCKER Es similar al que hemos sufrido hasta ahora con el falso mail de CORREOS, y que a tantos usuarios ha afectado, ahora […]<\/a><\/p>\n","protected":false},"author":5,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[822,891,892],"tags":[465,881,769],"class_list":["post-1572","post","type-post","status-publish","format-standard","hentry","category-822","category-otros","category-todos","tag-cryptolocker","tag-endesa","tag-falso-mail","category-822-id","category-891-id","category-892-id","post-seq-1","post-parity-odd","meta-position-corners","fix"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/posts\/1572","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/comments?post=1572"}],"version-history":[{"count":0,"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/posts\/1572\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/media?parent=1572"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/categories?post=1572"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/tags?post=1572"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}