Один вариант ВПО запускает обратный шелл, а другой крадёт данные кошельков и подменяет адреса криптовалютных выводов.