Найдите другую копию

Переименование файла не меняет его содержимое. Нежелательная программа может появиться на другом компьютере под другим именем.

Проверь отпечаток вспомогательной программы для практики:

seclab inspect artifacts demo-helper

Найди эти строки:

demo-helper:
  Expected SHA-256: 40f7e972c40034c1924e56ccbdeabaa292af38232f2f65882a1ae5ab81f34906
  SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7

Теперь проверь копию с другим именем:

seclab inspect artifacts spare-tool

Найди эти строки:

spare-tool:
  Expected SHA-256: -
  SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7

Текущие значения SHA-256 совпадают, потому что содержимое файлов идентично. Это позволяет найти другую копию, не полагаясь на её имя.

Совпадающий отпечаток указывает на идентичность содержимого. Тебе всё ещё нужно проверить, где запущена эта копия и есть ли у неё собственная запись автозапуска. Очистка одного компьютера не очищает другой.