Trojan.Winlock / Trojan.Ransomware : Virus Police

EDIT – Avril 2012 : confirmation de campagnes de publicités malicieuses “Malvertising” conduisant à des exploits sur site WEB depuis fin Novembre.

source http://www.securitycartoon.com/

Un billet concernant ces Trojan.Winlock/Trojan.Ransomware – pour rappel un Trojan.Winlock est un malware qui bloque le chargement du bureau et vous demande quelques chose en échange afin de débloquer votre PC (envoie d’un SMS, argent etc). Bref une rançon.

Le principe n’est pas nouveau :
https://forum.malekal.com/sms-ransomware-trojan-winlock-t21772.html
https://www.malekal.com/ransomware-plugin-erreur-critique-0x00874324/
https://forum.malekal.com/flash-player-exe-ransomware-t26652.html
https://forum.malekal.com/http-mms2u-info-exe-php-6067178d6665bcfe-t26727.html#p216584

Ici ce qui est interressant, c’est que les ransomwares tentent de se faire passer par des messages de la Police.

Comme vous pouvez le voir ci-dessus, il y a une grosse campagne courant octobre avec des sujets “Virus Police Nationale”.
Je soupçonne très fortement, après discussion avec les victimes, une campagne, via des publicités infectées, notamment sur les sites de streaming comme on avait eu là :https://www.malekal.com/site-de-streaming-et-malware-advertisement-et-infections-round-2/

Je vous cache pas l’effet psychologique d’un tel malware provenant soit disant de la police quand on se trouve sur ces sites.
Sur le forum de commentcamarche.net :
Ci-dessous un Suisse qui se plaint d’un Virus Confédération – ce dernier donne le lien suivant avec une capture du malware : http://www.melani.admin.ch/dienstleistungen/archiv/01130/index.html?lang=fr

Il existe donc des ransomwares reprenant des messages de polices de divers pays.
Je n’ai pas pu mettre la main sur la version française : Virus Police Nationale.

Néanmoins, Xylitol (que je remercie) m’a donné deux samples de la version allemand de ces Trojan.Ransomware : Achtung !

J’en profite aussi pour donner ces deux liens provenant de son blog : http://xylibox.blogspot.com/2011/05/trojanransom-fake-federal-german-police.html

et le second sample : http://xylibox.blogspot.com/search?updated-max=2011-11-27T18:23:00%2B01:00&max-results=5

Les messages s’affichent au chargement de Windows et il est impossible de faire quoique ce soit (c’est bien le but).
Les deux samples réclament l’envoi d’argent afin de débloquer votre Windows.
Comme vous pouvez le constater les messages sont très propres et font sérieux et peuvent donc tromper l’internaute qui pense alors avoir affaire à un message officiel.

Voici quelques autres captures en vrac trouvées ci et là :

Ci-dessous, Gema qui est plutôt un organisme de droit d’auteur (un équivalent de notre Sacem) : http://en.wikipedia.org/wiki/Gesellschaft_für_musikalische_Aufführungs-_und_mechanische_Vervielfältigungsrechte<

EDIT : Debut Février, une vague en français via une traduction est en ligne : https://www.malekal.com/virus-gema-lacces-a-votre-ordinateur-a-ete-ferme/

Merc à Jipe_

Si on se réfère à ce topic : http://xylibox.blogspot.com/2011/11/fakeavfakepolicealert-source-code-for.html
L’auteur vend carrement le code source – il semblerait que cette personne soit aussi à l’origine de divers rogues (mais pas que cela) dont des familles qui avaient valu des campagnes assez virulente.
D’ailleurs, si vous regardez le lien que j’ai donné plus haut sur les malwares via des publicités sur des sites de streaming, on peux voir qu’un Antivirus Monitor était droppé qui ressemble assez aux rogues produits par cette personne.

Table des matières

1 Désinfection Trojan.Winlock – Virus Police
2 EDIT Mi-Decembre 2011 :
3 EDIT Janvier 2012 :
4 EDITION au début février 2012 :
5 EDIT Début mars 2012
6 EDIT Fin MARS 2012
7 EDIT – Debut Avril 2012
8 EDIT – 14 Avril
9 EDITION – MI MAI 2012
10 22 Mai 2012
11 EDIT 2 Juin
12 EDIT – 18 Juillet : Ransomware International Police Association

Désinfection Trojan.Winlock – Virus Police

Côté désinfection, ce n’est pas forcément simple selon le point de chargement utilisé, chose qui peux évoluer dans le temps ou selon la variante sur laquelle vous tomber.
La meilleur solution est de redémarrer en mode sans échec et de tenter de faire un scan avec Malwarebyte.

Si le Trojan.Winlock est actif en mode sans échec, vous êtes bonbons, il y a alors des chances qu’il faille passer par un CD Live comme c’était le cas sur cette variante :

Vous avez un PDF qui explique comment faire : https://twitter.com/#!/Xylit0l/status/135795708887437312

Sinon voici une procédure plus générique :

Redémarrer en mode sans échec, pour cela, redémarre l’ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec avec prise en charge du réseau et appuye sur la touche entrée du clavier.
Télécharger et installer Malwarebyte : https://www.malekal.com/malwarebyte-anti-malware-supprimer-les-virus//
Mettez le à jour, fais un scan rapide, supprimer tout et poste le rapport ici.
!!! Malwarebyte doit être à jour avant de faire le scan !!!
Supprimer bien ce qui est détecté : bouton supprimer sélection.

Si cela ne fonctionne pas, créer un sujet dans la partie Virus du forum

EDIT Mi-Decembre 2011 :

Explosion des sujets relatifs à ces malwares avec notamment des versions françaises :

Ces infections vont notamment par des Malvertising sur les sites de streaming – l’occurence au moment du pic, un Malvertising via clicksor.com : Virus Police / Virus Bundespolizei – Malvertising de clicksor.com sur site de streaming

EDIT Janvier 2012 :

Nouvelle charte graphique : https://www.malekal.com/virus-police-nationale-francaise-activite-illegale-revelee/
Merci à : http://secuboxlabs.fr/kolab/

et le fameux virus gendarmerie : https://www.malekal.com/trojan-fake-police-virus-gendarmerie-nation/

ce dernier est décliné en version belge et espagnol

EDITION au début février 2012 :

Debut Février, une vague en français via une traduction est en ligne : https://www.malekal.com/virus-gema-lacces-a-votre-ordinateur-a-ete-ferme/

Quelques autres captures des Fake Police étrangers : http://secuboxlabs.fr/kolab/api?hash=da6016eccf90097e4053c62ce7654ce6dca2674f

EDIT Début mars 2012

Quelques autres en vrac :

Autriche :

Belgique :

Finlande :

Luxembourg :

Portugal :

Suède :

Etats-Unis :

EDIT Mars 2012 – nouveau Trojan.Ransomware : https://www.malekal.com/votre-ordinateur-est-bloque-en-raison-du-delit-de-la-loi-france/

EDIT début Mai pour rajouter ces deux variantes :

EDIT Mi-mars : le virus initialement “virus gema” (la sacem version allemande) commence à être porté dans divers pays :

Virus Sacem pour la France :

Angleterre avec PRS for Music : Pays bas avec buma stemra :

La Suisse :

EDIT Mai 2012 – Virus GVU remplace le Virus Sacem

EDIT Fin MARS 2012

Le Virus gendarmerie “Votre ordinateur est bloqué sous diverses langues”: https://www.malekal.com/votre-ordinateur-est-bloque-en-raison-du-delit-de-la-loi-france/

1332438127.630 2914 192.168.1.27 TCP_MISS/200 571638 GET http://skazochnikvpole.com/lcr3/tuktuk.php?id=4062B68A4B4B424D624E&cmd=img – DIRECT/72.20.6.90 text/html
1332438133.287 354 192.168.1.27 TCP_MISS/200 365 GET http://skazochnikvpole.com/lcr3/tuktuk.php?id=4062B68A4B4B424D624E&cmd=geo – DIRECT/72.20.6.90 text/html
1332438210.073 2770 192.168.1.27 TCP_MISS/200 591027 GET http://skazochnikvpole.com/it/tuktuk.php?id=4062B68A4B4B424D624E&cmd=img – DIRECT/72.20.6.90 text/html

Espagnol : Su ordenador fue bloqueado por violacion de las leyes de Espana :