Техническая информация
- [<HKCU>\software\microsoft\windows\currentversion\run] 'jmKjmotluy' = 'wscript.exe //B "%APPDATA%\jmKjmotluy.vbs"'
- [<HKLM>\software\microsoft\windows\currentversion\run] 'jmKjmotluy' = 'wscript.exe //B "%APPDATA%\jmKjmotluy.vbs"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ntfsmgr' = '"%ProgramFiles%\Java\jre1.8.0_45\bin\javaw.exe" -jar "%APPDATA%\ntfsmgr.jar"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'jEvNtvzvWoT' = '"%APPDATA%\Oracle\bin\javaw.exe" -jar "%HOMEPATH%\MKsQCbQVudm\YflCueSLwQq.wDUIHQ"'
- %APPDATA%\microsoft\windows\start menu\programs\startup\jmkjmotluy.vbs
- <Имя диска съемного носителя>:\jmkjmotluy.vbs
- <Имя диска съемного носителя>:\gruenspecht_02172016.lnk
- <Имя диска съемного носителя>:\waterresourcesag.lnk
- <Имя диска съемного носителя>:\hypothyroidism_slides.lnk
- <Имя диска съемного носителя>:\asaprojectcompetition.lnk
- <Имя диска съемного носителя>:\proposaltemplates.lnk
- <Имя диска съемного носителя>:\ksearch_esa_talk.lnk
- <Имя диска съемного носителя>:\metac.lnk
- <Имя диска съемного носителя>:\ppswamp.lnk
- <Имя диска съемного носителя>:\sacs_presentation_sacs_qep_improving_rt_education_final.lnk
- <Имя диска съемного носителя>:\background.lnk
- <Имя диска съемного носителя>:\breakpoint.lnk
- <Имя диска съемного носителя>:\asm.lnk
- <Имя диска съемного носителя>:\cbz.lnk
- <Имя диска съемного носителя>:\cleanlyrics.lnk
- <Имя диска съемного носителя>:\dissolveanother.lnk
- <Имя диска съемного носителя>:\block.lnk
- <Имя диска съемного носителя>:\tunpersonalca1.lnk
- <Имя диска съемного носителя>:\server.lnk
- <Имя диска съемного носителя>:\systisoft.lnk
- <Имя диска съемного носителя>:\ck_ugo.lnk
- <Имя диска съемного носителя>:\investmentbankca_ca8.lnk
- <Имя диска съемного носителя>:\lom602.lnk
- <Имя диска съемного носителя>:\2015-02-worms-nanoparticle-toxicity.lnk
- <Имя диска съемного носителя>:\ff_ot_user_guide.lnk
- <Имя диска съемного носителя>:\bc01.lnk
- <Имя диска съемного носителя>:\dualectls.lnk
- <Имя диска съемного носителя>:\spib_pima.lnk
- <Имя диска съемного носителя>:\indogerman2010.lnk
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.lnk
- <Имя диска съемного носителя>:\suspendedcompanies.lnk
- <Имя диска съемного носителя>:\applicant.lnk
- <Имя диска съемного носителя>:\2013_smccc_competition_points_jul2013.lnk
- <Имя диска съемного носителя>:\productos.lnk
- <Имя диска съемного носителя>:\subjectclassification.lnk
- <Имя диска съемного носителя>:\contractualdeadlines.lnk
- <Имя диска съемного носителя>:\1sm_price.lnk
- <Имя диска съемного носителя>:\passport_pal.lnk
- <Имя диска съемного носителя>:\babyboymaintonotesbackground_pal.lnk
- <Имя диска съемного носителя>:\babyboymaintoscenesbackground_pal.lnk
- <Имя диска съемного носителя>:\router_manual.lnk
- <Имя диска съемного носителя>:\myhrvoldhanssenbiharfamine.lnk
- <Имя диска съемного носителя>:\phytoremediation.lnk
- <Имя диска съемного носителя>:\ituneshelpunavailable.lnk
- <Имя диска съемного носителя>:\waterlandhealthkano.lnk
- <Имя диска съемного носителя>:\pubnet_855.lnk
- <Имя диска съемного носителя>:\taxus_baccata.lnk
- <Имя диска съемного носителя>:\swc_2009-03-02.lnk
- <Имя диска съемного носителя>:\20140114.lnk
- <Имя диска съемного носителя>:\foaf.lnk
- <Имя диска съемного носителя>:\schema.lnk
- <Имя диска съемного носителя>:\contenttypes.lnk
- <Имя диска съемного носителя>:\elvisimp.lnk
- <Имя диска съемного носителя>:\digest.lnk
- <Имя диска съемного носителя>:\roozenedowebinar.lnk
- <Имя диска съемного носителя>:\middaugh_keynote.lnk
- <Имя диска съемного носителя>:\fil_20060629111052.lnk
- <Имя диска съемного носителя>:\d0068197bb5a41fea16a220c45390606.lnk
- <Имя диска съемного носителя>:\video_1.lnk
- <Имя диска съемного носителя>:\cveuropeo.lnk
- <Имя диска съемного носителя>:\lisp_success.lnk
- <Имя диска съемного носителя>:\applicantform_en.lnk
- <Имя диска съемного носителя>:\fi51.lnk
- <Имя диска съемного носителя>:\testee.lnk
- <Имя диска съемного носителя>:\contosoroot.lnk
- <Имя диска съемного носителя>:\sdkfailsafeemulator.lnk
- <Имя диска съемного носителя>:\contosoroot_1.lnk
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.lnk
- <Имя диска съемного носителя>:\contoso.lnk
- <Имя диска съемного носителя>:\testcertificate.lnk
- <Имя диска съемного носителя>:\pmd.lnk
- <Имя диска съемного носителя>:\dashborder_96.lnk
- <Имя диска съемного носителя>:\coffee.lnk
- <Имя диска съемного носителя>:\dialmap.lnk
- <Имя диска съемного носителя>:\toolbar.lnk
- <Имя диска съемного носителя>:\dashborder_144.lnk
- <Имя диска съемного носителя>:\dashborder_192.lnk
- <Имя диска съемного носителя>:\dial.lnk
- <Имя диска съемного носителя>:\archer.lnk
- <Имя диска съемного носителя>:\000814251_video_01.lnk
- <Имя диска съемного носителя>:\split.lnk
- <Имя диска съемного носителя>:\delete.lnk
- <Имя диска съемного носителя>:\correct.lnk
- <Имя диска съемного носителя>:\hanni_umami_chapter.lnk
- <Имя диска съемного носителя>:\february_catalogue__2015.lnk
- <Имя диска съемного носителя>:\weeklysheet1215.lnk
- <Имя диска съемного носителя>:\508softwareandos.lnk
- <Имя диска съемного носителя>:\spanner.lnk
- <Имя диска съемного носителя>:\issi2013_template_for_posters.lnk
- <Имя диска съемного носителя>:\firefly1.lnk
- <Имя диска съемного носителя>:\parnas_01.lnk
- <Имя диска съемного носителя>:\pushkin.lnk
- <Имя диска съемного носителя>:\2.lnk
- <Имя диска съемного носителя>:\210252809.lnk
- <Имя диска съемного носителя>:\13.lnk
- <Имя диска съемного носителя>:\1189.lnk
- <Имя диска съемного носителя>:\4f0bf7ff71f28.lnk
- <Имя диска съемного носителя>:\168.lnk
- <Имя диска съемного носителя>:\api-hashmap.lnk
- <Имя диска съемного носителя>:\browse.lnk
- <Имя диска съемного носителя>:\military_callsigns_0311.lnk
- <Имя диска съемного носителя>:\national_autism_preparation_programs.lnk
- <Имя диска съемного носителя>:\about.lnk
- <Имя диска съемного носителя>:\iisstart.lnk
- <Имя диска съемного носителя>:\trivial-merge.lnk
- <Имя диска съемного носителя>:\tree_view.lnk
- <Имя диска съемного носителя>:\advice_process.lnk
- <Имя диска съемного носителя>:\garden.lnk
- <Имя диска съемного носителя>:\tcm851ax32.lnk
- <Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.lnk
- <Имя диска съемного носителя>:\wrar520.lnk
- <Имя диска съемного носителя>:\utorrent.lnk
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.lnk
- <Имя диска съемного носителя>:\sdszfo.lnk
- <Имя диска съемного носителя>:\howto-index.lnk
- <Имя диска съемного носителя>:\calculatorworksheet.lnk
- '%APPDATA%\oracle\bin\javaw.exe' -jar %HOMEPATH%\MKsQCbQVudm\YflCueSLwQq.wDUIHQ
- '%APPDATA%\oracle\bin\java.exe' -jar %TEMP%\_0.31952043498996646556553880742324090.class
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\xcopy.exe
- %APPDATA%\jmkjmotluy.vbs
- %APPDATA%\oracle\lib\tzmappings
- %APPDATA%\oracle\lib\amd64\jvm.cfg
- %APPDATA%\oracle\lib\cmm\ciexyz.pf
- %APPDATA%\oracle\lib\cmm\gray.pf
- %APPDATA%\oracle\lib\cmm\linear_rgb.pf
- %APPDATA%\oracle\lib\cmm\pycc.pf
- %APPDATA%\oracle\lib\cmm\srgb.pf
- %APPDATA%\oracle\lib\deploy\ffjcext.zip
- %APPDATA%\oracle\lib\deploy\messages.properties
- %APPDATA%\oracle\lib\sound.properties
- %APPDATA%\oracle\lib\tzdb.dat
- %APPDATA%\oracle\lib\deploy\messages_de.properties
- %APPDATA%\oracle\lib\deploy\messages_it.properties
- %APPDATA%\oracle\lib\deploy\messages_ja.properties
- %APPDATA%\oracle\lib\deploy\messages_ko.properties
- %APPDATA%\oracle\lib\deploy\messages_pt_br.properties
- %APPDATA%\oracle\lib\deploy\messages_sv.properties
- %APPDATA%\oracle\lib\deploy\messages_zh_cn.properties
- %APPDATA%\oracle\lib\deploy\messages_zh_hk.properties
- %APPDATA%\oracle\lib\deploy\messages_zh_tw.properties
- %APPDATA%\oracle\lib\deploy\splash.gif
- %APPDATA%\oracle\lib\deploy\messages_es.properties
- %APPDATA%\oracle\lib\deploy\messages_fr.properties
- %APPDATA%\oracle\lib\rt.jar
- %APPDATA%\oracle\lib\resources.jar
- %APPDATA%\oracle\lib\psfontj2d.properties
- %APPDATA%\oracle\lib\charsets.jar
- %APPDATA%\oracle\lib\classlist
- %APPDATA%\oracle\lib\content-types.properties
- %APPDATA%\oracle\lib\currency.data
- %APPDATA%\oracle\lib\deploy.jar
- %APPDATA%\oracle\lib\flavormap.properties
- %APPDATA%\oracle\lib\fontconfig.bfc
- %APPDATA%\oracle\lib\fontconfig.properties.src
- %APPDATA%\oracle\lib\hijrah-config-umalqura.properties
- %APPDATA%\oracle\lib\javafx.properties
- %APPDATA%\oracle\lib\calendars.properties
- %APPDATA%\oracle\lib\javaws.jar
- %APPDATA%\oracle\lib\jfr.jar
- %APPDATA%\oracle\lib\jfxswt.jar
- %APPDATA%\oracle\lib\jsse.jar
- %APPDATA%\oracle\lib\jvm.hprof.txt
- %APPDATA%\oracle\lib\logging.properties
- %APPDATA%\oracle\lib\management-agent.jar
- %APPDATA%\oracle\lib\meta-index
- %APPDATA%\oracle\lib\net.properties
- %APPDATA%\oracle\lib\plugin.jar
- %APPDATA%\oracle\lib\psfont.properties.ja
- %APPDATA%\oracle\lib\jce.jar
- %APPDATA%\oracle\lib\deploy\splash@2x.gif
- %APPDATA%\oracle\lib\ext\cldrdata.jar
- %TEMP%\retrive7134420446948480977.vbs
- %APPDATA%\oracle\lib\ext\dnsns.jar
- %APPDATA%\oracle\lib\management\jmxremote.access
- %APPDATA%\oracle\lib\management\jmxremote.password.template
- %APPDATA%\oracle\lib\management\management.properties
- %APPDATA%\oracle\lib\management\snmp.acl.template
- %APPDATA%\oracle\lib\security\blacklist
- %APPDATA%\oracle\lib\security\blacklisted.certs
- %APPDATA%\oracle\lib\security\cacerts
- %APPDATA%\oracle\lib\security\java.policy
- %APPDATA%\oracle\lib\security\java.security
- %APPDATA%\oracle\lib\jfr\default.jfc
- %APPDATA%\oracle\lib\jfr\profile.jfc
- %APPDATA%\oracle\lib\security\javaws.policy
- <SYSTEM32>\test.txt
- %HOMEPATH%\mksqcbqvudm\id.txt
- %HOMEPATH%\mksqcbqvudm\yflcueslwqq.wduihq
- %TEMP%\hsperfdata_user\1960
- %TEMP%\_0.31952043498996646556553880742324090.class
- %TEMP%\hsperfdata_user\1276
- %TEMP%\retrive4999733721035849566.vbs
- %TEMP%\retrive2482009004146732119.vbs
- %TEMP%\retrive5705372371108376246.vbs
- %APPDATA%\oracle\lib\security\local_policy.jar
- %APPDATA%\oracle\lib\security\us_export_policy.jar
- %APPDATA%\oracle\lib\images\cursors\win32_movenodrop32x32.gif
- %APPDATA%\oracle\lib\images\cursors\win32_movedrop32x32.gif
- %APPDATA%\oracle\lib\images\cursors\win32_linknodrop32x32.gif
- %APPDATA%\oracle\lib\ext\jfxrt.jar
- %APPDATA%\oracle\lib\ext\localedata.jar
- %APPDATA%\oracle\lib\ext\meta-index
- %APPDATA%\oracle\lib\ext\nashorn.jar
- %APPDATA%\oracle\lib\ext\sunec.jar
- %APPDATA%\oracle\lib\ext\sunjce_provider.jar
- %APPDATA%\oracle\lib\ext\sunmscapi.jar
- %APPDATA%\oracle\lib\ext\sunpkcs11.jar
- %APPDATA%\oracle\lib\ext\zipfs.jar
- %APPDATA%\oracle\lib\fonts\lucidabrightdemibold.ttf
- %APPDATA%\oracle\lib\ext\jaccess.jar
- %APPDATA%\oracle\lib\fonts\lucidabrightdemiitalic.ttf
- %APPDATA%\oracle\lib\fonts\lucidabrightregular.ttf
- %APPDATA%\oracle\lib\fonts\lucidasansdemibold.ttf
- %APPDATA%\oracle\lib\fonts\lucidasansregular.ttf
- %APPDATA%\oracle\lib\fonts\lucidatypewriterbold.ttf
- %APPDATA%\oracle\lib\fonts\lucidatypewriterregular.ttf
- %APPDATA%\oracle\lib\images\cursors\cursors.properties
- %APPDATA%\oracle\lib\images\cursors\invalid32x32.gif
- %APPDATA%\oracle\lib\images\cursors\win32_copydrop32x32.gif
- %APPDATA%\oracle\lib\images\cursors\win32_copynodrop32x32.gif
- %APPDATA%\oracle\lib\images\cursors\win32_linkdrop32x32.gif
- %APPDATA%\oracle\lib\fonts\lucidabrightitalic.ttf
- %APPDATA%\oracle\lib\accessibility.properties
- %APPDATA%\oracle\lib\ext\access-bridge-64.jar
- %APPDATA%\oracle\bin\server\xusage.txt
- %APPDATA%\oracle\bin\jfxwebkit.dll
- %APPDATA%\oracle\bin\instrument.dll
- %APPDATA%\oracle\bin\j2pcsc.dll
- %APPDATA%\oracle\bin\j2pkcs11.dll
- %APPDATA%\oracle\bin\jaas_nt.dll
- %APPDATA%\oracle\bin\jabswitch.exe
- %APPDATA%\oracle\bin\java-rmi.exe
- %APPDATA%\oracle\bin\java.dll
- %APPDATA%\oracle\bin\java.exe
- %APPDATA%\oracle\bin\javaaccessbridge-64.dll
- %APPDATA%\oracle\bin\gstreamer-lite.dll
- %APPDATA%\oracle\bin\hprof.dll
- %APPDATA%\oracle\bin\javacpl.cpl
- %APPDATA%\oracle\bin\javafx_font_t2k.dll
- %APPDATA%\oracle\bin\javafx_iio.dll
- %APPDATA%\oracle\bin\javaw.exe
- %APPDATA%\oracle\bin\javaws.exe
- %APPDATA%\oracle\bin\java_crw_demo.dll
- %APPDATA%\oracle\bin\jawt.dll
- %APPDATA%\oracle\bin\jawtaccessbridge-64.dll
- %APPDATA%\oracle\bin\jdwp.dll
- %APPDATA%\oracle\bin\jfr.dll
- %APPDATA%\oracle\bin\javacpl.exe
- %APPDATA%\oracle\bin\javafx_font.dll
- %APPDATA%\oracle\bin\glib-lite.dll
- %APPDATA%\oracle\bin\glass.dll
- %APPDATA%\oracle\bin\fxplugins.dll
- %TEMP%\output.txt
- %TEMP%\_0.68375753106928722692830765094807404.class
- %TEMP%\retrive3488134207739015712.vbs
- %TEMP%\retrive4395679904074318041.vbs
- %TEMP%\retrive8244866023681472336.vbs
- %TEMP%\retrive4219087737171994149.vbs
- %APPDATA%\oracle\copyright
- %APPDATA%\oracle\license
- %APPDATA%\oracle\readme.txt
- %APPDATA%\oracle\release
- %APPDATA%\ntfsmgr.jar
- %APPDATA%\oracle\thirdpartylicensereadme-javafx.txt
- %APPDATA%\oracle\welcome.html
- %APPDATA%\oracle\bin\awt.dll
- %APPDATA%\oracle\bin\bci.dll
- %APPDATA%\oracle\bin\dcpr.dll
- %APPDATA%\oracle\bin\decora_sse.dll
- %APPDATA%\oracle\bin\deploy.dll
- %APPDATA%\oracle\bin\dt_shmem.dll
- %APPDATA%\oracle\bin\dt_socket.dll
- %APPDATA%\oracle\bin\eula.dll
- %APPDATA%\oracle\bin\fontmanager.dll
- %APPDATA%\oracle\thirdpartylicensereadme.txt
- %APPDATA%\oracle\bin\jfxmedia.dll
- %APPDATA%\oracle\bin\jjs.exe
- %APPDATA%\oracle\bin\server\classes.jsa
- %APPDATA%\oracle\bin\jli.dll
- %APPDATA%\oracle\bin\rmid.exe
- %APPDATA%\oracle\bin\rmiregistry.exe
- %APPDATA%\oracle\bin\servertool.exe
- %APPDATA%\oracle\bin\splashscreen.dll
- %APPDATA%\oracle\bin\ssv.dll
- %APPDATA%\oracle\bin\ssvagent.exe
- %APPDATA%\oracle\bin\sunec.dll
- %APPDATA%\oracle\bin\sunmscapi.dll
- %APPDATA%\oracle\bin\t2k.dll
- %APPDATA%\oracle\bin\prism_sw.dll
- %APPDATA%\oracle\bin\resource.dll
- %APPDATA%\oracle\bin\tnameserv.exe
- %APPDATA%\oracle\bin\verify.dll
- %APPDATA%\oracle\bin\w2k_lsa_auth.dll
- %APPDATA%\oracle\bin\windowsaccessbridge-64.dll
- %APPDATA%\oracle\bin\wsdetect.dll
- %APPDATA%\oracle\bin\zip.dll
- %APPDATA%\oracle\bin\dtplugin\deployjava1.dll
- %APPDATA%\oracle\bin\dtplugin\npdeployjava1.dll
- %APPDATA%\oracle\bin\plugin2\msvcr100.dll
- %APPDATA%\oracle\bin\plugin2\npjp2.dll
- %APPDATA%\oracle\bin\unpack.dll
- %APPDATA%\oracle\bin\unpack200.exe
- %APPDATA%\oracle\bin\prism_es2.dll
- %APPDATA%\oracle\bin\prism_d3d.dll
- %APPDATA%\oracle\bin\prism_common.dll
- %APPDATA%\oracle\bin\jp2launcher.exe
- %APPDATA%\oracle\bin\jp2native.dll
- %APPDATA%\oracle\bin\jp2ssv.dll
- %APPDATA%\oracle\bin\jpeg.dll
- %APPDATA%\oracle\bin\jsdt.dll
- %APPDATA%\oracle\bin\jsound.dll
- %APPDATA%\oracle\bin\jsoundds.dll
- %APPDATA%\oracle\bin\kcms.dll
- %APPDATA%\oracle\bin\keytool.exe
- %APPDATA%\oracle\bin\kinit.exe
- %APPDATA%\oracle\bin\jp2iexp.dll
- %APPDATA%\oracle\bin\klist.exe
- %APPDATA%\oracle\bin\lcms.dll
- %APPDATA%\oracle\bin\management.dll
- %APPDATA%\oracle\bin\mlib_image.dll
- %APPDATA%\oracle\bin\msvcr100.dll
- %APPDATA%\oracle\bin\net.dll
- %APPDATA%\oracle\bin\nio.dll
- %APPDATA%\oracle\bin\npt.dll
- %APPDATA%\oracle\bin\orbd.exe
- %APPDATA%\oracle\bin\pack200.exe
- %APPDATA%\oracle\bin\policytool.exe
- %APPDATA%\oracle\bin\ktab.exe
- %APPDATA%\oracle\bin\server\jvm.dll
- %HOMEPATH%\futkaleatxm\id.txt
- <Имя диска съемного носителя>:\jmkjmotluy.vbs
- %HOMEPATH%\mksqcbqvudm\id.txt
- %HOMEPATH%\mksqcbqvudm\yflcueslwqq.wduihq
- %TEMP%\retrive3488134207739015712.vbs
- %TEMP%\retrive4395679904074318041.vbs
- %TEMP%\retrive8244866023681472336.vbs
- %TEMP%\retrive4219087737171994149.vbs
- %TEMP%\retrive4999733721035849566.vbs
- %TEMP%\retrive5705372371108376246.vbs
- %TEMP%\retrive2482009004146732119.vbs
- %TEMP%\retrive7134420446948480977.vbs
- 'dh#####aipallets.com':8899
- DNS ASK dh#####aipallets.com
- DNS ASK ar####.duckdns.org
- '<SYSTEM32>\wscript.exe' "%APPDATA%\jmKjmotluy.vbs"
- '<SYSTEM32>\cscript.exe' %TEMP%\Retrive3488134207739015712.vbs
- '<SYSTEM32>\cscript.exe' %TEMP%\Retrive4395679904074318041.vbs
- '<SYSTEM32>\cscript.exe' %TEMP%\Retrive8244866023681472336.vbs
- '<SYSTEM32>\cscript.exe' %TEMP%\Retrive4219087737171994149.vbs
- '<SYSTEM32>\cscript.exe' %TEMP%\Retrive4999733721035849566.vbs
- '<SYSTEM32>\cscript.exe' %TEMP%\Retrive2482009004146732119.vbs
- '<SYSTEM32>\cscript.exe' %TEMP%\Retrive5705372371108376246.vbs
- '<SYSTEM32>\cscript.exe' %TEMP%\Retrive7134420446948480977.vbs
- '<SYSTEM32>\cmd.exe' /c "%ProgramFiles%\Java\jre1.8.0_45\bin\javaw.exe" -version 2> %TEMP%\output.txt' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%ProgramFiles%\Java\jre1.8.0_45\bin\javaw.exe" -version 2> %TEMP%\output.txt
- '<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive2482009004146732119.vbs
- '<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive4999733721035849566.vbs
- '<SYSTEM32>\attrib.exe' +h "%HOMEPATH%\MKsQCbQVudm"
- '<SYSTEM32>\attrib.exe' +h "%HOMEPATH%\MKsQCbQVudm\*.*"
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v jEvNtvzvWoT /t REG_EXPAND_SZ /d "\"%APPDATA%\Oracle\bin\javaw.exe\" -jar \"%HOMEPATH%\MKsQCbQVudm\YflCueSLwQq.wDUIHQ\"" /f
- '<SYSTEM32>\cmd.exe'
- '<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive5705372371108376246.vbs
- '<SYSTEM32>\xcopy.exe' "%ProgramFiles%\Java\jre1.8.0_45" "%APPDATA%\Oracle\" /e
- '<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive8244866023681472336.vbs
- '<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive4395679904074318041.vbs
- '<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive3488134207739015712.vbs
- '%ProgramFiles%\java\jre1.8.0_45\bin\java.exe' -jar %TEMP%\_0.68375753106928722692830765094807404.class
- '%ProgramFiles%\java\jre1.8.0_45\bin\javaw.exe' -jar "%APPDATA%\ntfsmgr.jar"
- '%ProgramFiles%\java\jre1.8.0_45\bin\javaw.exe' -version
- '<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive4219087737171994149.vbs
- '<SYSTEM32>\cmd.exe' /C cscript.exe %TEMP%\Retrive7134420446948480977.vbs