Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\WinPump\pumpa.exe'
- '%TEMP%\Bab1ED3\Setup.exe' -s -affilID=17710
- '%TEMP%\babylon.exe' -affilID=17710
- '%APPDATA%\WinPump\extensions-eu.exe' /AFF=901 /SAFF=1076
- '%APPDATA%\WinPump\WinPump.exe' ""
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Babylon\Setup\bab025.no_welc_scr.dat
- %APPDATA%\Babylon\log_file.txt
- <LS_APPDATA>\Babylon\Setup\bab055.nocp_dsu14-14.dat
- <LS_APPDATA>\Babylon\Setup\bab049.cbid10.dat
- %TEMP%\Bab1ED3\SetupStrings.dat
- %TEMP%\Bab1ED3\Setup.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\new[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\new[1].php
- <LS_APPDATA>\Babylon\Setup\Setup.exe
- <LS_APPDATA>\Babylon\Setup\EULA.rtf
- %ALLUSERSPROFILE%\Desktop\Babylon.lnk
- <LS_APPDATA>\Babylon\Setup\SetupStrings.dat
- <LS_APPDATA>\Babylon\Setup\Babylon.dat
- <LS_APPDATA>\Babylon\Setup\bab065.engset.dat
- <LS_APPDATA>\Babylon\Setup\BException.dll
- <LS_APPDATA>\Babylon\Setup\BabyServices.dll
- %TEMP%\Bab1ED3\EULA.rtf
- %APPDATA%\WinPump\uninstall.exe
- %HOMEPATH%\Desktop\WinPump.lnk
- %APPDATA%\WinPump\downloads\geo
- %TEMP%\nsp2.tmp\NSISdl.dll
- %APPDATA%\WinPump\pumpa.exe
- %APPDATA%\WinPump\WinPump.exe
- %APPDATA%\WinPump\extensions-eu.exe
- %APPDATA%\WinPump\extensions-us.exe
- %TEMP%\Bab1ED3\Babylon.dat
- %TEMP%\Bab1ED3\bab065.engset.dat
- %TEMP%\Bab1ED3\BException.dll
- %TEMP%\Bab1ED3\BabyServices.dll
- %TEMP%\Bab1ED3\bab025.no_welc_scr.dat
- %TEMP%\babylon.exe
- %TEMP%\Bab1ED3\bab055.nocp_dsu14-14.dat
- %TEMP%\Bab1ED3\bab049.cbid10.dat
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\new[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\new[1].php
- %TEMP%\babylon.exe
- %APPDATA%\WinPump\downloads\geo
- %TEMP%\nsp2.tmp\NSISdl.dll
Сетевая активность:
Подключается к:
- 'www.ba##lon.com':80
- 'in##.#abylon.com':80
- 'localhost':1041
- '20#.#8.226.28':80
- '21#.#74.146.196':80
TCP:
Запросы HTTP GET:
- www.ba##lon.com/redirects/redir.cgi?ty#######################################################################################################################################################################################################
- in##.#abylon.com/setup/downloader9.php?ve###################################################################################################################################
- 20#.#8.226.28/geo.php
- 21#.#74.146.196/reports/new.php?af#################################################
UDP:
- DNS ASK www.ba##lon.com
- DNS ASK in##.#abylon.com
- '23#.#55.255.250':1900
- 'any':5351
Другое:
Ищет следующие окна:
- ClassName: 'Babylon' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
