Техническая информация
Отработавшее пользовательское сигма правило:
- 297ae038-edc2-4b2e-bb3e-7c5fc94dd5c7
- 1228c958-e64e-4e71-92ad-7d429f4138ba
- a6a39bdb-935c-4f0a-ab77-35f4bbf44d33
- cea72823-df4d-4567-950c-0b579eaf0846
- 7f4c43f9-b1a5-4c7d-b24a-b41bf3a3ebf2
- de587dce-915e-4218-aac4-835ca6af6f70
- 24357373-078f-44ed-9ac4-6d334a668a11
- 20f0ee37-5942-4e45-b7d5-c5b5db9df5cd
- 92626ddd-662c-49e3-ac59-f6535f12d189
- f2c64357-b1d2-41b7-849f-34d2682c0fad
- 173e3f7024b9a065b74b42bd3b9c4687ada68e9b49ee5724a42ba6ef01dd2dca
- 7a02e22e-b885-4404-b38b-1ddc7e65258a
- 81325ce1-be01-4250-944f-b4789644556f
- 06ce37c2-61ab-4f05-9ff5-b1a96d18ae32
- 15434e33-5027-4914-88d5-3d4145ec25a9
- 3e3ceccd-6c06-48b8-b5ff-ab1d25db8c1d
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdateService' = 'wscript.exe //B %APPDATA%\Microsoft\Windows\wus_watcher.vbs'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windowsupdateservice
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im brave.exe
- '<SYSTEM32>\taskkill.exe' /f /im waterfox.exe
- '<SYSTEM32>\taskkill.exe' /f /im msedge.exe
- '<SYSTEM32>\taskkill.exe' /f /im yandexbrowser.exe
- '<SYSTEM32>\taskkill.exe' /f /im firefox.exe
- '<SYSTEM32>\taskkill.exe' /f /im librewolf.exe
- '<SYSTEM32>\taskkill.exe' /f /im chrome.exe
- '<SYSTEM32>\taskkill.exe' /f /im opera.exe
- '<SYSTEM32>\taskkill.exe' /f /im vivaldi.exe
- '<SYSTEM32>\taskkill.exe' /f /im opera_gx.exe
Внедряет код в
следующие пользовательские процессы:
- msedge.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %APPDATA%\mozilla\firefox\profiles.ini
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\ovp25012015.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\sync_cache.log
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\conf\security\java.policy
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\conf\security\java.security
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\conf\security\policy\limited\default_local.policy
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\conf\security\policy\limited\default_us_export.policy
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\conf\security\policy\limited\exempt_local.policy
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\conf\security\policy\readme.txt
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\conf\security\policy\unlimited\default_local.policy
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\conf\security\policy\unlimited\default_us_export.policy
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\lib\jvm.cfg
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\imgui-java-binding-1.86.12.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\imgui-java-lwjgl3-1.86.12.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\imgui-java-natives-windows-1.86.12.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\jna-5.14.0.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\jna-platform-5.14.0.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\json-20231013.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-3.3.3-natives-windows.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-3.3.3.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-glfw-3.3.3-natives-windows.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-glfw-3.3.3.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-opengl-3.3.3-natives-windows.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-opengl-3.3.3.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\okhttp-3.12.0.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\okio-1.17.6.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\slf4j-api-2.0.9.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\sqlite-jdbc-3.44.1.0.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\modules.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\lib\modules
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\lib\security\blocked.certs
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\lib\security\cacerts
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\lib\security\default.policy
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\lib\tzdb.dat
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\java.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\javaw.exe
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\jimage.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\jli.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\msvcp140.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\net.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\nio.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\server\jvm.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\syslookup.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\ucrtbase.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\vcruntime140.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\vcruntime140_1.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\verify.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\zip.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\chrome_decrypt.dll.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\chrome_key_dll.dll.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_data.dll.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\release
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\imgui-java-binding-1.86.12.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\imgui-java-lwjgl3-1.86.12.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\imgui-java-natives-windows-1.86.12.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\jna-5.14.0.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\jna-platform-5.14.0.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\json-20231013.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-3.3.3-natives-windows.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-3.3.3.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-glfw-3.3.3-natives-windows.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-glfw-3.3.3.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-opengl-3.3.3-natives-windows.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-opengl-3.3.3.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\okhttp-3.12.0.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\okio-1.17.6.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\slf4j-api-2.0.9.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\sqlite-jdbc-3.44.1.0.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\modules.jar
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\chrome_decrypt.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\chrome_key_dll.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_data.dll
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe
- %TEMP%\hsperfdata_user\1124
- %TEMP%\soul_debug.log
- %TEMP%\soul_pipeline.log
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-4226853953-3309226944-3078887307-1000\83aa4cc77f591dfc2374580bbd95f6ba_8cf7b530-613e-439b-a8c5-ccfc0e745400
- %TEMP%\sqlite-3.44.1.0-a1e26e91-6295-4d0d-b8cb-0ace366a81d0-sqlitejdbc.dll
- %TEMP%\chrome_key_dll.dll
- %TEMP%\runtime_data.dll
- %TEMP%\chrome_decrypt.dll
- %TEMP%\wus_1786594398551.vbs
- %APPDATA%\microsoft\windows\wus_watcher.vbs
- %TEMP%\jna-3599307\jna9777262365235012718.dll
- %TEMP%\sacma_debug.log
- %TEMP%\ld_9507585444835617566.db
- nul
- %TEMP%\ld_11605256958514442070.db
- %TEMP%\ld_9897971821592680897.db
- %TEMP%\ld_11993888467574240264.db
- %TEMP%\ld_6969774296700179378.db
- %TEMP%\ld_5662897939607854306.db
- %TEMP%\ld_13757047470904909740.db
- %TEMP%\ld_8380973580423523126.db
- %TEMP%\ld_13195391338709654501.db
- %TEMP%\ld_602188861796591412.db
- %TEMP%\ld_12752959093669863970.db
- %TEMP%\ld_4184442342005025269.db
- %TEMP%\ld_1208465906409012819.db
- %TEMP%\ld_2727218604103689738.db
- %TEMP%\tilki_debug.log
- %TEMP%\ld_4600271366091849992.db
- %TEMP%\ld_4600271366091849992.db-shm
- %TEMP%\ld_3832758338647346346.db
- %TEMP%\ld_3832758338647346346.db-shm
- %TEMP%\ld_11560764097815612050.db
- %TEMP%\zip_debug.log
- %TEMP%\soul_capture.zip
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\imgui-java-binding-1.86.12.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\imgui-java-lwjgl3-1.86.12.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\imgui-java-natives-windows-1.86.12.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\jna-5.14.0.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\jna-platform-5.14.0.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\json-20231013.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-3.3.3-natives-windows.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-3.3.3.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-glfw-3.3.3-natives-windows.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-glfw-3.3.3.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-opengl-3.3.3-natives-windows.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\lwjgl-opengl-3.3.3.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\okhttp-3.12.0.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\okio-1.17.6.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\slf4j-api-2.0.9.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\libs\sqlite-jdbc-3.44.1.0.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\modules.jar.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\chrome_decrypt.dll.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\chrome_key_dll.dll.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_data.dll.jenc
- %LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe.jenc
- %TEMP%\wus_1786594398551.vbs
- %TEMP%\jna-3599307\jna9777262365235012718.dll
- %TEMP%\ld_4600271366091849992.db-shm
- %TEMP%\ld_3832758338647346346.db-shm
Сетевая активность
TCP
Другие
- 'ra#.####ubusercontent.com':443
- 'up####.gofile.io':443
- 'di##ord.com':443
UDP
- DNS ASK ra#.####ubusercontent.com
- DNS ASK up####.gofile.io
- DNS ASK di##ord.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\javaw.exe' -cp %LOCALAPPDATA%\Cached_Software_Ltd\Cached_Exchange_Sync\cache\af2ed51e234119c91d7c\modules.jar;%LOCALAPPDATA%\Cached_Software_Ltd\Cached_Exchange_Sync\cache\af2ed51e234119c91d7c\libs\* e <П...
- '<SYSTEM32>\wscript.exe' //B %TEMP%\wus_1786594398551.vbs
- '<SYSTEM32>\wscript.exe' //B %APPDATA%\Microsoft\Windows\wus_watcher.vbs
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe' edge -o %TEMP%\soul_chromelevator_6edd6f86 -k
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe' edge -o %TEMP%\soul_chromelevator_bd054ea8 -k
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe' all -o %TEMP%\soul_chromelevator_5ec1b252 -k
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe' edge -o %TEMP%\soul_chromelevator_66828247 -k
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe' chrome -o %TEMP%\soul_chromelevator_7e49e259 -k
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe' brave -o %TEMP%\soul_chromelevator_f7067cae -k
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe' avast -o %TEMP%\soul_chromelevator_2d47c89f -k
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe' opera -o %TEMP%\soul_chromelevator_40773cc7 -k
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe' vivaldi -o %TEMP%\soul_chromelevator_3681e0dd -k
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\native\runtime_helper.exe' edge -o %TEMP%\soul_chromelevator_f7720bc2 -k
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v WindowsUpdateService /t REG_SZ /d "wscript.exe //B "%APPDATA%\Microsoft\Windows\wus_watcher.vbs"" /f
- '<SYSTEM32>\schtasks.exe' /create /tn WindowsUpdateService /tr "wscript.exe //B "%APPDATA%\Microsoft\Windows\wus_watcher.vbs"" /sc onlogon /delay 0001:00 /rl highest /f
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe'
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im brave.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im waterfox.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im msedge.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im yandexbrowser.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im firefox.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im librewolf.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im chrome.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im opera.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im vivaldi.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im opera_gx.exe
- '<SYSTEM32>\wbem\wmic.exe' path win32_VideoController get name
- '<SYSTEM32>\wbem\wmic.exe' csproduct get uuid
- '<SYSTEM32>\reg.exe' query HKCU\Software\Roblox /s
- '<SYSTEM32>\reg.exe' query HKCU\Software\Roblox\RobloxStudio /s
- '<SYSTEM32>\reg.exe' query HKCU\Software\Roblox\RobloxPlayer /s
- '<SYSTEM32>\reg.exe' query HKCU\Software\Valve\Steam /v SteamPath
- '%LOCALAPPDATA%\cached_software_ltd\cached_exchange_sync\cache\af2ed51e234119c91d7c\jre\bin\javaw.exe' -cp %LOCALAPPDATA%\Cached_Software_Ltd\Cached_Exchange_Sync\cache\af2ed51e234119c91d7c\modules.jar;%LOCALAPPDATA%\Cached_Software_Ltd\Cached_Exchange_Sync\cache\af2ed51e234119c91d7c\libs\* e <П... (со скрытым окном)
