Hanau, 19. Juli 2011

Der Sicherheitsspezialist Doctor Web warnt vor einer neuen Variante des Trojaners Trojan.Winlock.3846. Es ist noch frühzeitig, von einer Epidemie zu sprechen. Der Schädling ist aber schon ein zweites Exemplar, das im laufenden Monat entdeckt wurde.

In Russland sind Millionen von Anwendern wegen Trojan.Winlock zu Schaden gekommen. Heute geht die Infektionswelle zurück. Dies ist dem Projekt www.drweb.com/unlocker sowie zahlreichen Partnerschaften zwischen Doctor Web und russischen Mobilfunkanbietern zu verdanken. In westeuropäischen Ländern wird heute das Thema besonders aktuell.

Im Unterschied zu Trojan.Winlock.3794 speichert die neue Variante des Erpressungstrojaners einen Link im Bereich des Systemregisters HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\userinit, der für das Starten der Programme durch den Systemprozess winlogon verantwortlich ist. Das Betriebssystem wird nach der Infizierung beim Neustart des PCs sofort geblockt.

Statt der gewohnten Windows-Oberfläche erscheint auf dem Bildschirm eines infizierten PCs eine Meldung über die Fehlfunktion eines Systemprozesses unter 0x3BC3. Um dies zu beheben, muss der Anwender eine der genannten Nummern anrufen und ein Entschlüsselungscode eingeben. Der Anruf ist aber kostenpflichtig.

Diese Variante des Winlockers hat eine Besonderheit: der Trojaner enthält mehrere Sprachversionen (Englisch, Französisch, Russisch) für verschiedene Windows-Lokalisierungen.

Um das durch Trojan.Winlock.3846 geschädigte Betriebssystem zu entsperren, benutzen Sie das folgende Code:

754-896-324-589-742

Doctor Web empfiehlt deshalb, vom Starten nicht vertrauenswürdiger Anwendungen sowie E-Mail-Anhänge abzusehen. Vorsicht ist auch beim Aufrufen von Webseiten, wo die Installation von Modulen oder Plug-ins angeboten wird, erforderlich. Wenn Sie zum Opfer von Trojan.Winlock.3846 gefallen sind, benutzen Sie das Tool zur Not-Wiederherstellung des Systems Dr.Web LiveCD und Dr.Web CureIt!.