в virustotal можно посмотреть какие файлы копируются и какие ключи реестра пишутся.