RANSOM_LOCKY.TIAOKAI

安装

它在受感染的系统中植入并执行下列自身副本：

• %User Temp%\svchosta.exe (Windows Vista or above)
• %Application Data%\svchosta.exe (Windows XP or below)

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。. %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它植入下列文件：

• %System Root%\Users\Public\PUBLIC (Windows Vista or above)
• %System Root%\Documents and Settings\Default User\PUBLIC (Windows XP or below)
• %System Root%\Users\Public\UNIQUE_ID_DO_NOT_REMOVE (Windows Vista or above)
• %System Root%\Documents and Settings\Default User\UNIQUE_ID_DO_NOT_REMOVE (Windows XP or below)

(注意： %System Root% 是根文件夹，通常位于 C:\。它也是操作系统所在的位置。)

它植入和执行下列文件：

• %User Temp%\svchostaaexe.bat (Windows Vista or above) -> used to delete initial copy and itself
• %Application Data%\svchostaaexe.bat (Windows XP or below) -> used to delete initial copy and itself

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。. %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

自启动技术

它将自己的下列副本复制到Windows自启动文件夹，在系统每次启动时自动执行。

• %User Startup%\start.bat -> used to execute dropped copy

(注意: %User Startup% 是当前用户的启动文件夹，通常位于 C:\Windows\Profiles\{user name}\Start Menu\Programs\Startup (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Start Menu\Programs\Startup (Windows NT) 和 C:\Documents and Settings\{User name}\「开始」菜单\程序\启动。)

其他详细信息

它显示包含下列消息的弹出窗口：