Ransom.Win64.INTERLOCK.THJAEBD

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

新(xīn)病毒详细信息

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

安(ān)装(zhuāng)

它植入下列文(wén)件：

• If -del | --delete parameter is used:
  • %User Temp%\tmp{Random Number}.wasd → detected as Trojan.Win64.INTERLOCK.THKACBD

它添加下列进程：

• If -s | --system parameter is used:
  • cmd.exe /c schtasks /delete /tn TaskSystem /f > nul
  • cmd.exe /c schtasks /create /sc DAILY /tn "TaskSystem" /tr "cmd /C cd {Malware Path} && {Malware Path}\{Malware Filename}" /st 20:00 /ru system > nul
  • cmd.exe /c schtasks /run /tn TaskSystem > nul
  • cmd.exe /c schtasks /delete /tn TaskSystem /f > nul
• If -del | --delete parameter is used:
  • rundll32.exe %User Temp%/tmp{Random Numbers}.wasd,run {Malware Path}\{Malware Filename} → deletes the malware file

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

其他(tā)详细信息

该程序执行以下操作(zuò)：

• It clears the following event logs:
  • Application
  • Forwarded Events
  • Security
  • Setup
  • System