Ransom.Win64.INTERLOCK.THJAEBD

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

新病毒详细信息

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

安装

它植入下列文件：

• If -del | --delete parameter is used:
  • %User Temp%\tmp{Random Number}.wasd → detected as Trojan.Win64.INTERLOCK.THKACBD

它添加下列进程：

• If -s | --system parameter is used:
  • cmd.exe /c schtasks /delete /tn TaskSystem /f > nul
  • cmd.exe /c schtasks /create /sc DAILY /tn "TaskSystem" /tr "cmd /C cd {Malware Path} && {Malware Path}\{Malware Filename}" /st 20:00 /ru system > nul
  • cmd.exe /c schtasks /run /tn TaskSystem > nul
  • cmd.exe /c schtasks /delete /tn TaskSystem /f > nul
• If -del | --delete parameter is used:
  • rundll32.exe %User Temp%/tmp{Random Numbers}.wasd,run {Malware Path}\{Malware Filename} → deletes the malware file

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000(32-bit)、XP 和 Server 2003(32-bit))、C:\Users\{user name}\AppData\Local\Temp (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit)。)

其他详细信息

该程序执行以下操作：

• It clears the following event logs:
  • Application
  • Forwarded Events
  • Security
  • Setup
  • System