Het virus dat sinds gisteren bij verschillende Nederlandse organisaties Office-bestanden verminkt, blijkt een defect gijzelvirus te zijn. De overheid heeft inmiddels een waarschuwing afgegeven voor de malware die zowel Word- als Excel-bestanden onbruikbaar maakt. "Door dit virus worden de geïnfecteerde bestanden onbruikbaar, er is nog geen oplossing voorhanden om de bestanden weer bruikbaar te maken. Het virus wordt door een aantal virusscanners herkend", aldus de Waarschuwingsdienst.

Volgens Erik Remmelzwaal van Medusoft heeft de malware inmiddels de titel W32/XDocCrypt.a gekregen. "Het lijkt dus toch niet gelinkt te zijn aan Zbot/Zeus", zo laat hij aan Security.nl weten. Door McAfee is inmiddels een extra update uitgebracht die zowel de malware verwijdert als de corrupte bestanden herstelt. "Wat wel prettig is als je met 100.000 corrupte bestanden zit", laat Remmelzwaal weten. (zie ook de update van 13:35).

Uitbraak
Mark Loman van het Nederlandse bedrijf Surfright vertelt tegen Security.nl dat er een flinke uitbraak bij overheidsinstellingen en grote bedrijven heeft plaatsgevonden. "Het betreft malware die Word en Excel documenten kaapt en ze vervangt door een uitvoerbaar .scr bestand met daarin een zogenaamd RTL karakter."

HitmanPro kan de Trojan-Ransom.Win32.Dorifel, zoals Surfright de bedreiging noemt, sinds 7 augustus vinden en verwijderen. "Echter, de documenten die door dit gijzelvirus zijn gekaapt werden niet hersteld. De gegijzelde bestanden zijn namelijk met een 256 bytes RC4 sleutel versleuteld", stelt Loman.

Tool
De Trojan start bij infectie 3 threads waarvan er één naar aanwezige schijven zoekt en een ander het taskmgr.exe proces (Task Manager) probeert te sluiten.

"Omdat de vraag naar een losse decrypter groot is hebben we gisteravond/vannacht met Fabian Wosar van het Oostenrijkse anti-virusbedrijf Emsisoft samengewerkt. Fabian heeft samen met ons een losse decrypter tool gebouwd die vanaf de opdrachtprompt kan worden gebruikt", gaat Loman verder. De gratis tool is via deze pagina te downloaden.

Publieke sector
"Dit is een vrij interessante aanval, die duidelijk erg zichtbaar is vanwege de 'fallout' met versleutelde documenten. En ook vanwege het grote aantal organisaties in de de publieke sector die zwaar door deze aanval zijn getroffen", aldus Ronald Prins van Fox-IT in deze uitgebreide analyse van de malware.

Update 12:38
Uit een eerste inventarisatie blijkt dat er in Nederland ruim 2200 computernetwerken zijn besmet met het computervirus. Het aantal computers dat in het buitenland is getroffen, ligt tussen de 100 en 200. Het computervirus verspreid zich via een variant van de bekende Zeus-trojan,Citadel, zo laat het Nationaal Cyber Security Centrum (NCSC) weten.

Update 13:35
Remmelzwaal merkt op dat de 'nieuwe' malware zelf geen Zbot (Zeus) variant blijkt te zijn, maar er wel degelijk aan gelinkt is. "In de zin dat Zbot al sluimerend op systemen aanwezig is geweest en dat die malware deze nieuwe variant van XDocCrypt heeft gedownload en in sommige gevallen ook Sasfis."