Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'mnzo' = '"%PROGRAM_FILES%\mnzo\mnzo.exe" /A'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\zbsvc] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\mnzo\lssvr.exe'
- '%TEMP%\RarSFX0\data\ConsExt.exe' /crv 0
- '%TEMP%\RarSFX0\data\ConsExt.exe' /event
- '%TEMP%\RarSFX0\-9057_1_mvzb.exe'
- '%TEMP%\nsa2.tmp\mnzo.exe' /fix
- '%PROGRAM_FILES%\mnzo\mnzo.exe' /setuprun
Запускает на исполнение:
- '<SYSTEM32>\find.exe' /i " 6.0"
- '<SYSTEM32>\find.exe' /i " 6.1"
- '<SYSTEM32>\find.exe' /i " 6.2"
- '<SYSTEM32>\reg.exe' QUERY "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v ProductName
- '<SYSTEM32>\taskkill.exe' /F /im mvyd.exe
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\nt6oem.cmd" "
- '<SYSTEM32>\mode.com' con cols=80 lines=23
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\data\TOSCPL.XRM-MS
- %TEMP%\RarSFX0\data\Toshib.XRM-MS
- %TEMP%\RarSFX0\data\TOSINV.XRM-MS
- %TEMP%\RarSFX0\data\THOA21.xrm-ms
- %TEMP%\RarSFX0\data\THTFPC.XRM-MS
- %TEMP%\RarSFX0\data\TOSASU.XRM-MS
- %TEMP%\RarSFX0\data\TOSQCI.XRM-MS
- %TEMP%\RarSFX0\data\WORTMA.xrm-ms
- %TEMP%\RarSFX0\data\xplore.xrm-ms
- %TEMP%\RarSFX0\data\YUTC.xrm-ms
- %TEMP%\RarSFX0\data\TRIGEM.xrm-ms
- %TEMP%\RarSFX0\data\VESTEL.xrm-ms
- %TEMP%\RarSFX0\data\VSCAIO.XRM-MS
- %TEMP%\RarSFX0\data\Tarox1.xrm-ms
- %TEMP%\RarSFX0\data\PHILCO.xrm-ms
- %TEMP%\RarSFX0\data\POSITI.xrm-ms
- %TEMP%\RarSFX0\data\PRDGT.xrm-ms
- %TEMP%\RarSFX0\data\OEMDump.exe
- %TEMP%\RarSFX0\data\OLIPRO.xrm-ms
- %TEMP%\RarSFX0\data\ONKYO.xrm-ms
- %TEMP%\RarSFX0\data\QUANMX.xrm-ms
- %TEMP%\RarSFX0\data\stinfo.XRM-MS
- %TEMP%\RarSFX0\data\synnex.xrm-ms
- %TEMP%\RarSFX0\data\SYSMAX.xrm-ms
- %TEMP%\RarSFX0\data\sc.exe
- %TEMP%\RarSFX0\data\SECCSD.xrm-ms
- %TEMP%\RarSFX0\data\Sony.xrm-ms
- %TEMP%\RarSFX0\data\_ASUS_.XRM-MS
- %ALLUSERSPROFILE%\Application Data\mnzo\xh.dat
- %PROGRAM_FILES%\mnzo\uninst.exe
- %PROGRAM_FILES%\mnzo\ГАЕ®ЦчІҐ.lnk
- %PROGRAM_FILES%\mnzo\adb.exe
- %PROGRAM_FILES%\mnzo\AdbWinApi.dll
- %PROGRAM_FILES%\mnzo\AdbWinUsbApi.dll
- %ALLUSERSPROFILE%\Start Menu\Programs\ГАЕ®ЦчІҐ\ГАЕ®ЦчІҐ.lnk
- %HOMEPATH%\AppData\LocalLow\mnzo\Fav9.dat
- %HOMEPATH%\AppData\LocalLow\mnzo\Down\ETagFile.dat
- %HOMEPATH%\AppData\LocalLow\mnzo\btns.js
- %ALLUSERSPROFILE%\Start Menu\Programs\ГАЕ®ЦчІҐ\Р¶ФШГАЕ®ЦчІҐ.lnk
- %ALLUSERSPROFILE%\Desktop\ГАЕ®ЦчІҐ.lnk
- %TEMP%\RarSFX0\nt6oem.tmp
- %PROGRAM_FILES%\mnzo\aapt.exe
- %TEMP%\RarSFX0\data\bootins6.exe
- %TEMP%\RarSFX0\data\bootins7.exe
- %TEMP%\RarSFX0\data\bootins8.exe
- %TEMP%\RarSFX0\data\QBEXCO.xrm-ms
- %TEMP%\RarSFX0\data\JetWay.xrm-ms
- %TEMP%\RarSFX0\data\gr1dr34
- %TEMP%\RarSFX0\-9057_1_mvzb.exe
- %PROGRAM_FILES%\mnzo\mnzo.exe
- %PROGRAM_FILES%\mnzo\lssvr.exe
- %PROGRAM_FILES%\mnzo\mnzbd.exe
- %TEMP%\nsa2.tmp\System.dll
- %TEMP%\nsa2.tmp\mnzo.exe
- %TEMP%\nsa2.tmp\nsSCM.dll
- %TEMP%\RarSFX0\data\Datate.xrm-ms
- %TEMP%\RarSFX0\data\Dealin.xrm-ms
- %TEMP%\RarSFX0\data\Dell.XRM-MS
- %TEMP%\RarSFX0\data\ConsExt.exe
- %TEMP%\RarSFX0\data\CREAAS.xrm-ms
- %TEMP%\RarSFX0\data\CZC011.xrm-ms
- %TEMP%\RarSFX0\data\DSGLTD.xrm-ms
- %TEMP%\RarSFX0\data\FOUNDR.xrm-ms
- %TEMP%\RarSFX0\data\FSC.xrm-ms
- %TEMP%\RarSFX0\data\FUJ.xrm-ms
- %TEMP%\RarSFX0\data\Equus.xrm-ms
- %TEMP%\RarSFX0\data\Exc.xrm-ms
- %TEMP%\RarSFX0\data\EXO.xrm-ms
- %TEMP%\RarSFX0\data\cmscom.xrm-ms
- %TEMP%\RarSFX0\data\ACRSYS.xrm-ms
- %TEMP%\RarSFX0\data\ALWARE.xrm-ms
- %TEMP%\RarSFX0\data\AQUARI.xrm-ms
- %TEMP%\RarSFX0\nt6oem.cmd
- %TEMP%\RarSFX0\data\about.vbs
- %TEMP%\RarSFX0\data\about1.vbs
- %TEMP%\RarSFX0\data\ATComp.xrm-ms
- %TEMP%\RarSFX0\data\CASPER.xrm-ms
- %TEMP%\RarSFX0\data\CCEInf.xrm-ms
- %TEMP%\RarSFX0\data\cgwall.XRM-MS
- %TEMP%\RarSFX0\data\BenQ.xrm-ms
- %TEMP%\RarSFX0\data\BGH-SA.xrm-ms
- %TEMP%\RarSFX0\data\bootrest.exe
- %TEMP%\RarSFX0\data\GBT.xrm-ms
- %TEMP%\RarSFX0\data\Lenovo.XRM-MS
- %TEMP%\RarSFX0\data\LGE.xrm-ms
- %TEMP%\RarSFX0\data\MATBIO.xrm-ms
- %TEMP%\RarSFX0\data\K-Syst.xrm-ms
- %TEMP%\RarSFX0\data\KRFTWY.xrm-ms
- %TEMP%\RarSFX0\data\LANIX1.xrm-ms
- %TEMP%\RarSFX0\data\MEDION.xrm-ms
- %TEMP%\RarSFX0\data\NOKIA.xrm-ms
- %TEMP%\RarSFX0\data\NT6OEM.EXE
- %TEMP%\RarSFX0\data\OEGROU.xrm-ms
- %TEMP%\RarSFX0\data\MSI_NB.xrm-ms
- %TEMP%\RarSFX0\data\NAVIHB.xrm-ms
- %TEMP%\RarSFX0\data\NEC.xrm-ms
- %TEMP%\RarSFX0\data\JOOYON.xrm-ms
- %TEMP%\RarSFX0\data\haier.xrm-ms
- %TEMP%\RarSFX0\data\HASEE.xrm-ms
- %TEMP%\RarSFX0\data\HCLINF.xrm-ms
- %TEMP%\RarSFX0\data\GENSYS.xrm-ms
- %TEMP%\RarSFX0\data\gr1dr1
- %TEMP%\RarSFX0\data\gr1dr2
- %TEMP%\RarSFX0\data\HEDY06.XRM-MS
- %TEMP%\RarSFX0\data\HSPW07.xrm-ms
- %TEMP%\RarSFX0\data\HYRSLP.xrm-ms
- %TEMP%\RarSFX0\data\ITINFO.xrm-ms
- %TEMP%\RarSFX0\data\higrad.xrm-ms
- %TEMP%\RarSFX0\data\HP.XRM-MS
- %TEMP%\RarSFX0\data\HPQOEM.XRM-MS
Удаляет следующие файлы:
- %TEMP%\nsa2.tmp\System.dll
- %TEMP%\nsa2.tmp\nsSCM.dll
- %TEMP%\nsa2.tmp\mnzo.exe
Сетевая активность:
Подключается к:
- 'we#.#nzhibo.com':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- we#.#nzhibo.com/json/hot/c.js
- we#.#nzhibo.com/Handler/Handler.ashx?ac##############
- we#.#nzhibo.com/json/all/c.js
- we#.#nzhibo.com/json/task/task.js
- we#.#nzhibo.com/json/btns/btns.js
UDP:
- DNS ASK we#.#nzhibo.com
- DNS ASK tj#.#nzhubo.cn
- 'tj#.#nzhubo.cn':8202
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'TFormHuodongMini' WindowName: ''
- ClassName: 'TFormLoginTips' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'TMeiNvZBMainForm' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'TFormTips' WindowName: ''
- ClassName: 'TFormMini' WindowName: ''
- ClassName: 'THtmFormShow' WindowName: ''
