WinLock is back

Publié le 20-11-2012 dans le thème Virus - Antivirus

Pays : France - Auteur : La rédaction

Pub : Tous les logiciels antispyware gratuits disponibles sur Internet

Note des lecteurs: 2.7/5

Nouvelle nouvelle nouvelle version du code malveillant WinLock. en ce moment, il se fait passer pour le FBI. Une fois lancé sur le PC infecté, Winlock.7372 (intitulé proposé par DrWeb, ndlr zataz.com) modifie la branche du registre relative à l’auto démarrage des applications, puis recherche les processus de toute une série d’applications : Gestionnaire des tâches, notepad, rédacteur du registre, ligne de commandes, navigateurs Microsoft Internet Explorer, Google Chrome, Firefox, Opera, applications ProcessHacker, Process Monitor etc.

Enfin, Winlock 7372 crée une fenêtre invisible sur tout l’écran et y télécharge la page web des escrocs avec un message demandant de payer pour le déblocage. Le message, rédigé en anglais, est soi-disant envoyé par le FBI et informe l’utilisateur qu’il a violé les lois fédérales des Etats-Unis. Les malfaiteurs demandent 200 dollars pour le déblocage, payables via MoneyPak, et menacent l’utilisateur d’être arrêté si le paiement n’est pas effectué sous 72 heures.

Le code de confirmation pour le paiement doit être envoyé depuis la page affichée. Si on essaie d’accéder au serveur des malfaiteurs, on nous demande d’entrer un nom d'utilisateur et un mot de passe, cette page permet aux pirates de surveiller la propagation de Winlock et de modifier ses configurations.

Une technique vue en Russie, Allemagne, Belgique ou encore en France. Dans l'hexagone, ce code malveillant demandeur de rançon se faisait passer pour la gendarmerie. "Supprimer toutes les fichiers multimédia en infraction avec les droits d'auteurs", voilà le message qui s'affiche lors de l'activation du Winlock Français. Le fichier se prétend être un fichier dénonçant toutes activités illégales, plus particulièrement visant le "Téléchargement". Le pirate réclame 200€. Pour le payer, il faut passer par les systèmes UKash ou PaySafe Card. L'escroc indique que cette somme permet de payer l'amende liée à l'infraction constatée. L'attaque exploite la nouvelle version de Java. Des sites pirates affichent dans les navigateurs qu'il est recommandé de mettre à jour son logiciel. Cette méthode, nommée Java Drive By permet de faire croire à la victime qu'il lui manque un Plugin obligatoire pour afficher correctement le contenu du site web en question. Malheur à celui qui installera le piège. En cas de "clic" inapproprié, une restauration du système s'impose. Pour cela, passez par le biais de l'invite de commande en mode sans échec. Il faut ensuite scanner son Disque Dur.