Een Nederlandstalige versie van Microsoft Word leidde onderzoekers van antivirusbedrijf McAfee naar een vermeende Utrechtse cybercrimineel die uiteindelijk door het Team High Tech Crime van de politie werd aangehouden. De 20-jarige man wordt verdacht van het ontwikkelen van een macrobuilder.

Met een dergelijke tool worden kwaadaardige macro's aan Microsoft Office-documenten toegevoegd die malware op het systeem van de ontvanger van het document kunnen installeren. Een macrobuilder die op verschillende fora werd aangeboden was Rubella. In een forumbericht toont de ontwikkelaar van Rubella een screenshot van een Word-document met een kwaadaardige macro die niet wordt gedetecteerd door Windows Defender.

John Fokker, een Nederlandse onderzoeker van McAfee, zag dat de ontwikkelaar een Nederlandstalige versie van Microsoft Word gebruikte. Iets wat opmerkelijk is, aangezien Nederlands niet veel voorkomt. Vorig jaar werd bekend dat de makers van de CoinVault-ransomware mede werden opgepakt omdat ze foutloos Nederlands schreven. "Met dit in het achterhoofd besloten we verder te kijken", zegt Fokker in een blogposting.

Het onderzoek leidde naar een programma dat de verdachte eerder had geschreven om e-mail mee te spoofen. In dit programma was de gebruikersnaam achtergebleven. "Een klassieke fout", merkt Fokker op. Aan de hand van de gebruikersnaam die in het programma werd gevonden besloten de onderzoekers naar andere malware te kijken die met dezelfde gebruikersnaam was ontwikkeld. Ze vonden een Office-document dat met Nederlandstalige versie van Word was gemaakt.

Uiteindelijk komen de onderzoekers uit bij een domein dat wordt gebruikt voor het licentiebeheerder van de verschillende macrobuilders die de verdachte ontwikkelde. Het beheerderspaneel van dit domein was in het Nederlands. De informatie die de onderzoekers tijdens hun onderzoek verzamelen delen ze met de Nederlandse politie, die de verdachte uiteindelijk kan aanhouden. "De politie kwam de man mede op het spoor dankzij onderzoek van twee particuliere bedrijven, waaronder McAfee", aldus het Openbaar Ministerie. Wanneer de Utrechtse verdachte voor de rechter komt is nog niet bekend.