Всё начинается с похожего на официальный сайт prismlauncher[.]io. Скачивание ведёт на zip архив со зловредом, в котором никакого лаунчера конечно нет.

Чтобы скрыть возможные детекты антивирусами в архив положили установщик Microsoft SQL Server и переименовали установщик для отвода глаз. Файл имеет подпись Microsoft и Virustotal ничего толком не покажет.

А вот библиотека рядом SqlSetupBoostrapper.dll как раз и является первоначальным активатором зловреда. Он-то и загружается в установщик MS SQL и дальше от его имени подгружает всё остальное.

И да, оно ставит софт удаленного доступа ScreenConnect. Да, тот самый ScreenConnect (https://xakep.ru/2026/07/06/screenconnect/) А его модифицированная DLL внедряется в процесс lsass.exe, который прописывается тут HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa в параметр Authentication Packages

А чтобы зловред пожил подольше он пытается поставить свой сертификат, чего конечно допускать нельзя. А дальше ему ничего не мешает подгружать майнеры, стилеры и другие непотребства. Defender конечно вовремя проснулся.

Это только 1 попавшийся пример. Бояться каждый файл не стоит,  нужно обращать внимание не на название файла, а на его издателя, если таковой имеется. И смотрите какие файлы рядом лежат. Обычно крупные разработчики свои сборки подписывают. А PrismLauncher к Microsoft отношение вообще не имеет. К тому же MinerSearch уже умеет удалять эту заразу. Вот как-то так.