https://www.virustotal.com/file/3ece4b22d74529fc3cf1219f160be0b150a0a4c77770103017461932c1e5964a/analysis/

 

1)Создает ключи
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"antolka"="C:\\antolka.bat"
Возможно создаст ключ ( S-.....может быть другим)
[HKEY_USERS\S-1-5-21-1482476501-602609370-839522115-500\Software\Microsoft\Windows\CurrentVersion\Run]
"antolka"="C:\\antolka.bat"
2)Содержимое antolka.bat

@echo off
Title antolka
start antolka.exe
3)Файл antolka.exe находится в корне диска с атрибутом скрытый, системный.