Le 3 février 2012

Les analystes Doctor Web ont détecté la propagation d'une nouvelle modification du Trojan.Winlock, menaçant utilisateurs arabophones. Ces trojans ont provoqué une véritable épidémie en Russie en 2010. Plus tard, de nouvelles modifications sont apparues partout dans le monde. Notamment le Trojan.Winlock.5490, menaçant les utilisateurs français de Microsoft Windows.

De nombreuses nouvelles versions localisées en plusieurs langues sont apparues récemment. Elles possèdent une architecture et des mécanismes de déblocage différents : un code ou une désactivation automatique après un certains temps. Le Trojan.Winlock.5416 est un programme assez primitif ne possédant pas de code de déblocage et qui n'est pas capable de vérifier la langue de localisation de l'OS (il se lance sous toute version Windows). Dans les bases Dr.Web, il existe plusieurs signatures pour ce type de trojan, la plupart des trojans est en allemand, mais le Trojan.Winlock.5416 attire notre attention parce qu’il menace l’utilisateur par les lois de la Charia :

Le message affiché,en arabe, dit que le PC est bloqué car l'utilisateur a consulté des sites pornographiques et des vidéos représentant des violences faites à des enfants, ce qui est contraire à la législation du Royaume d’Aarabie Saoudite. L’utilisateur doit payer 300 dollars via Ucash, et ensuite introduire le code reçu. Ce code est envoyé sur le site des malfaiteurs (le site est localisé en Lettonie). Ce sont les seules actions du trojan.

Il faut noter que c’est le seul trojan en arabe connu à ce jour par les spécialistes de Doctor Web. Doctor Web a mis en place une procédure de suppression des Trojan.Winlock et de tentative de déblocage du PC. La signature de cette menace a été ajoutée aux bases Dr.Web.