il 3 febbraio 2012

Gli analisti del laboratorio antivirus della società “Doctor Web” — uno sviluppatore russo di sistemi di sicurezza informatica — hanno registrato la diffusione di una nuova versione di Trojan.Winlock che minaccia utenti nei paesi arabi. Vi ricordiamo che i cavalli di troia appartenenti a questa famiglia sono diventati ben noti nella Russia nell’anno 2010. In seguito sono apparse modificazioni di Trojan.Winlock per utenti fuori la Russia. Per esempio, di recente è stato scoperto Trojan.Winlock.5490 che minacciava utenti francesi di Microsoft Windows.

Ultimamente sono emerse molteplici versioni dei cavalli di troia che bloccano l’operazione di Windows, mirate agli utenti fuori la Russia. I Trojan dimostrano alle vittime messaggi in inglese, francese, tedesco e in altre lingue europee. Di solito, tali cavalli di troia hanno architettura diversa e vari meccanismi di sbloccamento del sistema operativo: tramite un codice apposto oppure automaticamente, finito un determinato periodo. Comparato con gli altri cavalli di troia, Trojan.Winlock.5416 è un programma-ricattatore assai primitivo: esso non ha né il codice di sblocco, né la funzione di verifica della lingua del sistema operativo, e perciò si avvia nei sistemi operativi Windows con qualsiasi lingua dell’interfaccia. Le basi di dati dei virus Dr.Web dispongono di più firme antivirali per i Trojan di questo tipo, la maggior parte dei quali visualizza nella finestra di blocco un testo in lingua tedesca, però una versione di Trojan.Winlock.5416 ha un aspetto molto curioso:

Questa versione del bloccatore mette sullo schermo un testo in lingua araba in cui si dice che il dato computer è stato bloccato perché l’utente aveva visitato siti di pornografia e di violenza sui minorenni e quindi violato leggi dell’Arabia Saudita. Sotto la minaccia di tribunale della sharia, all’utente viene proposto di pagare 300 dollari comprando una scheda prepagata Ucash, il cui codice si deve inserire nella finestra del programma-bloccatore. Questo codice viene spedito al sito dei malintenzionati (la cui posizione geografica è in Lettonia). Il troiano non esegue altre azioni distruttive.

Bisogna notare che questo è il primo campione di cavallo di troia - bloccatore in lingua araba conosciuto al momento dai professionisti della società “Doctor Web”. La procedura di eliminazione di Trojan.Winlock.5416 è completamente solita per i malware di questo tipo e non merita una descrizione separata. La firma antivirale di questa minaccia è presente nelle basi di dati dei virus Dr.Web.