위협 데이터베이스 랜섬웨어 Filecoder.D 랜섬웨어

Filecoder.D 랜섬웨어

랜섬웨어년에 CagedTech 년까지
게시됨:
번역 :

위협 스코어카드

위협 수준: 100 % (높은)
감염된 컴퓨터: 84
처음 본 것: January 24, 2013
마지막으로 본: October 19, 2026
영향을 받는 OS: Windows

Filecoder.D 랜섬웨어 는 윈도우 컴퓨터를 대상으로 하는 위험한 파일 암호화 위협으로, 피해자가 몸값을 지불할 때까지 문서, 사진 및 기타 개인 파일에 접근할 수 없도록 잠급니다. 최고 위험 등급으로 분류된 이 악성코드는 2013년 초부터 최근까지 지속적으로 탐지되어 왔으며, 보안 연구원들이 추적하는 활성 위협으로 남아 있습니다.

Filecoder.D 랜섬웨어의 기능은 무엇인가요?

Filecoder.D는 시스템에 침투하여 활성화되면 로컬 드라이브에서 문서, 이미지, PDF, Microsoft Office 파일과 같은 중요한 파일 형식을 검색하고 강력한 암호화 루틴을 사용하여 암호화합니다. 이렇게 암호화된 데이터는 공격자가 보유한 특수 복호화 키 없이는 읽을 수 없게 됩니다. 이 악성 프로그램은 Windows 암호화 라이브러리를 활용하여 이러한 과정을 수행하므로 백업 없이는 파일을 수동으로 복구하는 것이 매우 어렵거나 불가능합니다.

이 위협과 관련된 특히 파괴적인 행위는 Windows에 내장된 파일 복원 기능인 볼륨 섀도 복사본을 삭제하려는 시도입니다. 섀도 복사본을 삭제하는 명령을 실행하고 관련 시스템 서비스를 비활성화함으로써, 랜섬웨어는 피해자가 Windows 기본 도구를 사용하여 암호화된 데이터를 쉽게 복구할 수 없도록 만들어 몸값을 지불하도록 압박합니다. 또한 시스템 서비스 및 프로세스와 상호 작용하여 보안 도구를 비활성화하거나 관리자 권한으로 실행되도록 시도할 수 있으며, 실행 중에 PowerShell과 같은 스크립팅 구성 요소를 사용하는 경우도 확인되었습니다. 이는 최신 랜섬웨어 계열에서 흔히 사용되는 수법으로, 정상적인 시스템 활동처럼 위장하는 데 사용됩니다.

어떻게 확산되는가

대부분의 랜섬웨어와 마찬가지로 Filecoder.D는 단일 고정 유포 채널보다는 기만적인 유포 방식을 사용하는 것이 일반적입니다. 이러한 유형의 위협에 대한 일반적인 감염 경로는 청구서나 문서로 위장한 악성 이메일 첨부 파일, 스팸 메시지에 포함된 감염된 링크, 패치가 적용되지 않은 소프트웨어 취약점을 악용하는 익스플로잇 키트, 신뢰할 수 없는 웹사이트에서 제공되는 번들 다운로드, 불법 복제 소프트웨어 또는 크랙된 애플리케이션 등이 있습니다. 사용자는 악성 파일을 열거나 감염된 문서에서 매크로를 활성화하는 등의 행위를 통해 자신도 모르게 감염될 수 있습니다.

사용자에게 발생할 수 있는 위험

Filecoder.D 감염은 심각한 결과를 초래할 수 있습니다. 피해자는 가족 사진, 재정 기록, 업무 문서 등 복구 불가능한 파일에 영구적으로 접근할 수 없게 될 수 있으며, 특히 백업이 없는 경우 더욱 위험합니다. 데이터 손실 외에도, 몸값을 지불한다고 해서 공격자가 복호화 키를 제공한다는 보장은 없으며, 오히려 범죄 활동에 자금을 지원하는 결과를 낳을 뿐입니다. 감염된 시스템은 성능 저하, 보안 기능 비활성화, 추가 악성코드 감염 위험 증가 등의 문제에 직면할 수도 있습니다.

감염 징후

사용자는 갑자기 접근할 수 없게 되거나 확장자가 비정상적으로 변경되는 파일, 바탕 화면이나 폴더 내에 나타나는 몸값 요구 메시지, 시스템 성능 저하, 예기치 않은 결제 요구 팝업 창, 섀도 복사본 또는 백업 복원 지점의 손실 등을 주의 깊게 살펴봐야 합니다. 시스템 서비스나 스크립팅 도구가 설명 없이 실행되는 비정상적인 활동 또한 경고 신호일 수 있습니다.

자신을 보호하는 방법

랜섬웨어 감염 위험을 줄이려면 사용자는 중요한 파일을 정기적으로 외부 저장 장치나 오프라인 위치에 백업하고, 운영 체제와 모든 소프트웨어를 최신 보안 패치로 업데이트하며, 알 수 없거나 의심스러운 이메일의 첨부 파일이나 링크를 열지 않고, 불법 복제 소프트웨어를 다운로드하지 않아야 합니다. 신뢰할 수 있는 보안 소프트웨어를 실행하고, 방화벽을 활성화하고, 오피스 문서에서 매크로 사용 시 주의를 기울이는 것도 필수적입니다. 최신 백업을 유지하는 것은 몸값을 지불하지 않고 랜섬웨어 공격으로부터 복구하는 가장 확실한 방법입니다.

분석 보고서

일반 정보

성씨: Filecoder.D Ransomware
서명 상태: No Signature

알려진 샘플

MD5: b10a7ece58207d3caecff1e7a3c33647
샤1: 0568f740a0fcfc1506700f54136d341a351c51a5
샤256: 9B1B6DC7878A1A9E2BDF659CA21DC62B16618B4C228B1E571757DF8772A2047F
파일 크기: 678.91 KB,678912 바이트

Windows 휴대용 실행 파일 속성

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have resources
  • File doesn't have security information
  • File has TLS information
  • File is 32-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
더 보기
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

파일 특성

  • HighEntropy
  • No Version Info
  • x86

블록 정보

총 블록 수: 2,658
잠재적으로 악의적인 차단: 109
허용된 블록: 2,549
알 수 없는 블록: 0

시각적 지도

0 x 0 0 0 x x x x x x x x x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 x x 0 0 0 0 0 0 0 0 0 x 0 x x 0 0 0 0 0 0 0 0 x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x 0 x x x x x x x x x x x x x x x x x x 0 x x 0 0 0 0 0 0 0 0 0 0 0 x 0 0 x 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 x x x 0 x 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x x 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 1 0 x 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 x x x x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 x 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 x 0 0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 1 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 1 1 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 1 0 0 0 0 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 1 0 1 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
... 데이터가 잘렸습니다
0 - 안전 블록 가능성 높음
? - 알 수 없는 블록
x - 잠재적으로 악의적인 차단

수정된 파일

파일 속성
\device\namedpipe\dav rpc service Generic Read,Write Data,Write Attributes,Write extended,Append data
\device\namedpipe\pshost.134367906788192588.6460.defaultappdomain.powershell Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288
\device\namedpipe\wkssvc Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\__psscriptpolicytest_qeb0kbvh.thf.ps1 Generic Write,Read Attributes
c:\users\user\appdata\local\temp\__psscriptpolicytest_umqkfmxb.r1n.psm1 Generic Write,Read Attributes

레지스트리 수정

키::값 데이터 API 이름
HKLM\software\microsoft\windows\currentversion\policies\system::enablelinkedconnections  RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::msfeeditor "c:\users\user\downloads\0568f740a0fcfc1506700f54136d341a351c51a5_0000678912" e RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe 몯㢼廦ǝ RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe 榃㤋廦ǝ RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe ᗑ㥚廦ǝ RegNtPreCreateKey

Windows API 사용법

범주 API
Service Control
  • ControlService
  • OpenSCManager
  • OpenService
  • StartService
Process Shell Execute
  • CreateProcess
  • WinExec
  • WriteConsole
Process Manipulation Evasion
  • NtUnmapViewOfSection
Syscall Use
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAlpcSendWaitReceivePort
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateFile
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreateSection
더 보기
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSemaphore
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWaitLowEventPair
  • ntdll.dll!NtWorkerFactoryWorkerReady
  • ntdll.dll!NtWriteFile
  • UNKNOWN
Anti Debug
  • IsDebuggerPresent
  • NtQuerySystemInformation
User Data Access
  • GetUserDefaultLocaleName
  • GetUserName
  • GetUserNameEx
  • GetUserObjectInformation
Process Terminate
  • TerminateProcess
Encryption Used
  • BCryptOpenAlgorithmProvider
Other Suspicious
  • AdjustTokenPrivileges

셸 명령 실행

vssadmin delete shadows /all /quiet
net stop VSS & sc config VSS start= disabled
sc config VSS start= Demand & net start VSS
WriteConsole: DESCRIPTION:
wmic.exe SHADOWCOPY delete /nointeractive
더 보기
vssadmin.exe Delete Shadows /All /Quiet
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
bcdedit.exe /set {default} recoveryenabled No
bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
wbadmin.exe DELETE CATALOG -quiet
icacls.exe "{A-Z}:" /grant {Username}:F /T /C /Q
WriteConsole: {Username}
WriteConsole: :
WriteConsole: No mapping betwe
WriteConsole: Successfully pro
del /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
del /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk
del /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk
del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk
del /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk
del /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk
del %0
wbadmin.exe DELETE SYSTEMSTATEBACKUP
wbadmin.exe DELETE SYSTEMSTATEBACKUP -deleteoldest
powershell -command "Get-WmiObject Win32_Shadowcopy | ForEach-Object {$_.Delete()