Microsoft Excel.WsF : Nouvelle variante houdini

Nous connaissions bien l’infection Houdini – Dinihou que tout le monde appel « l’infection des raccourcis USB« .
Une nouvelle variante commence à apparaître, elle diffère légèrement car elle utilise une extension différente :
.wsf (Windows Script File) .

Ce langage de programmation permet de mélanger les langages de script JScript et VBScript dans un seul fichier, ou d’autres langages de script.
Ces types de scripts peuvent également être utilisés pour relier de nombreux autres scripts externes ensemble à l’aide d’un système de balise d’une manière similaire au HTML. Cela laisse une bonne marge d’évolution à cette infection ..

Tout comme la variante précédente, le script malicieux est encodé plusieurs fois :

UsbFix détecte et supprime cette variante, pour l’instant seul celle ci-dessous est connue mais UsbFix est réglé pour détecter cette variante sous toutes les formes possible.

Détection UsbFix : Microsoft Excel.WsF

Borrado! C:\Users\%Username%\AppData\Roaming\Microsoft Office\Microsoft Excel.WsF
Borrado! J:\Microsoft Excel.WsF
Borrado! HKU\S-1-5-21-1222349982-3771650499-2065109334-1000\Software\Microsoft\Windows\CurrentVersion\Run|Microsoft Excel
Borrado! J:\CO.lnk
Borrado! J:\.lnk
Borrado! J:\RECYCLER.lnk
Borrado! J:\TO CHECK.lnk
Borrado! J:\USB Show.lnk
Borrado! J:\DropboxInstaller.lnk
Borrado! J:\Eliminar-Virus-y-Accesos-Directos.lnk
Borrado! J:\REVISTA 174.lnk
Borrado! J:\Mensajes 1 de abril.lnk
Borrado! J:\Logo para la Fiesta de la Francofonía.lnk
Borrado! J:\Files.lnk
Borrado! J:\Abril 2.lnk
Borrado! J:\Autorun.inf.lnk
Borrado! J:\Abril 3.lnk
Borrado! J:\Abril 4.lnk
Borrado! J:\Abril 5.lnk
Borrado! J:\.Trashes.lnk
Borrado! J:\.Spotlight-V100.lnk
Borrado! J:\.fseventsd.lnk
Borrado! J:\Regiones de Colombia.lnk
Borrado! J:\Abril 7.lnk