Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\Setup.exe -s -affilID=15662
- %TEMP%\Babylon_File\Babylon9.exe -s -affilID=15662
- %TEMP%\nss2.tmp\ns3.tmp "%TEMP%\Babylon_File\Babylon9.exe" -s -affilID=15662
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Babylon\Setup\Setup.exe
- <LS_APPDATA>\Babylon\Setup\Babylon.dat
- <LS_APPDATA>\Babylon\Setup\bab094.band.dat
- <LS_APPDATA>\Babylon\Setup\SetupStrings.dat
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\eula.html
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\common.js
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\cmbx.png
- %APPDATA%\Babylon\log_file.txt
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\SetupStrings.dat
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\Setup.exe
- <LS_APPDATA>\Babylon\Setup\bab025.cbid20.dat
- <LS_APPDATA>\Babylon\Setup\bab065.engset.dat
- <LS_APPDATA>\Babylon\Setup\bab041.hp_chng.dat
- <LS_APPDATA>\Babylon\Setup\bab027.ttype240211_terra.dat
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\title1.png
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page2Lrg.css
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page2.js
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\title2.png
- %ALLUSERSPROFILE%\Desktop\Babylon.lnk
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\vIcn.png
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\toolBar.jpg
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page1.html
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page1.css
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\lngs.png
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page1.js
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page2.html
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page2.css
- <LS_APPDATA>\Babylon\Setup\HtmlScreens\page1Lrg.css
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\bab065.engset.dat
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\bab041.hp_chng.dat
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\bab027.ttype240211_terra.dat
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\bab094.band.dat
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\common.js
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\cmbx.png
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\Babylon.dat
- %TEMP%\nss2.tmp\databab.xml
- %TEMP%\nss2.tmp\inetc.dll
- %TEMP%\Babylon_File\Babylon9.exe
- %TEMP%\nss2.tmp\XML.dll
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\bab025.cbid20.dat
- %TEMP%\nss2.tmp\ns3.tmp
- %TEMP%\nss2.tmp\nsExec.dll
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\page2Lrg.css
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\page2.js
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\page2.html
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\title1.png
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\vIcn.png
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\toolBar.jpg
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\title2.png
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\page1.css
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\lngs.png
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\eula.html
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\page1.html
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\page2.css
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\page1Lrg.css
- %TEMP%\B7B5D280-BAB0-7891-A479-8EF4E9BEC207\HtmlScreens\page1.js
Сетевая активность:
Подключается к:
- 'www.ba##lon.com':80
- 'in##.#abylon.com':80
- 'www.sc####savergift.com':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- in##.#abylon.com/setup/downloader9.php?ve#########################################################################################################################################
- www.sc####savergift.com/wp-content/sponsors/data/databab.php
UDP:
- DNS ASK in##.#abylon.com
- DNS ASK www.ba##lon.com
- DNS ASK www.sc####savergift.com
Другое:
Ищет следующие окна:
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'Babylon' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '#32770' WindowName: ''
