Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\Setup.exe -s -affilID=101453
- %TEMP%\Babylon_File\Babylon9.exe -s -affilID=101453
- %TEMP%\nsa2.tmp\ns3.tmp "%TEMP%\Babylon_File\Babylon9.exe" -s -affilID=101453
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\cmbx.png
- <LS_APPDATA>\Babylon\Setup\SetupStrings.dat
- <LS_APPDATA>\Babylon\Setup\Setup.exe
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\lngs.png
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\eula.html
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\common.js
- <LS_APPDATA>\Babylon\Setup\Babylon.dat
- <LS_APPDATA>\Babylon\Setup\bab027.ttype240211_terra.dat
- <LS_APPDATA>\Babylon\Setup\bab025.cbid20.dat
- %APPDATA%\Babylon\log_file.txt
- <LS_APPDATA>\Babylon\Setup\bab094.band.dat
- <LS_APPDATA>\Babylon\Setup\bab065.engset.dat
- <LS_APPDATA>\Babylon\Setup\bab041.hp_chng.dat
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\title2.png
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\title1.png
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page2Lrg.css
- %ALLUSERSPROFILE%\Desktop\Babylon.lnk
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\vIcn.png
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\toolBar.jpg
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page2.js
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page1.js
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page1.html
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page1.css
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page2.html
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page2.css
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page1Lrg.css
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\SetupStrings.dat
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\cmbx.png
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\Babylon.dat
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\bab094.band.dat
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\lngs.png
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\eula.html
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\common.js
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\bab065.engset.dat
- %TEMP%\nsa2.tmp\ns3.tmp
- %TEMP%\nsa2.tmp\nsExec.dll
- %TEMP%\Babylon_File\Babylon9.exe
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\bab041.hp_chng.dat
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\bab027.ttype240211_terra.dat
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\bab025.cbid20.dat
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\title2.png
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\title1.png
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\page2Lrg.css
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\Setup.exe
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\vIcn.png
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\toolBar.jpg
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\page2.js
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\page1.js
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\page1.html
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\page1.css
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\page2.html
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\page2.css
- %TEMP%\AD5904C6-BAB0-7891-8FFF-AF84826EB30E\HtmlScreens\page1Lrg.css
Сетевая активность:
Подключается к:
- 'in##.#abylon.com':80
- 'www.ba##lon.com':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- in##.#abylon.com/setup/downloader9.php?ve##########################################################################################################################################
UDP:
- DNS ASK in##.#abylon.com
- DNS ASK www.ba##lon.com
- '<IP-адрес в локальной сети>':1036
Другое:
Ищет следующие окна:
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'Babylon' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '#32770' WindowName: ''
