Adware.Downware.2478

Техническая информация

Вредоносные функции

Читает файлы, отвечающие за хранение паролей сторонними программами

%APPDATA%\mozilla\firefox\profiles.ini
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsx6fa4.tmp\system.dll
%LOCALAPPDATA%\babylon\setup\setup.exe
%LOCALAPPDATA%\babylon\setup\setupstrings.dat
%LOCALAPPDATA%\babylon\setup\sqlite3.dll
%LOCALAPPDATA%\babylon\setup\htmlscreens\common.js
%LOCALAPPDATA%\babylon\setup\htmlscreens\eula.html
%LOCALAPPDATA%\babylon\setup\htmlscreens\page2.css
%LOCALAPPDATA%\babylon\setup\bab091.norecovericon.dat
%LOCALAPPDATA%\babylon\setup\babylon.dat
%LOCALAPPDATA%\babylon\setup\htmlscreens\page2.html
%LOCALAPPDATA%\babylon\setup\htmlscreens\page9.html
%LOCALAPPDATA%\babylon\setup\htmlscreens\pbar.gif
%LOCALAPPDATA%\babylon\setup\htmlscreens\thumbs.db
%LOCALAPPDATA%\babylon\setup\htmlscreens\title2.png
%LOCALAPPDATA%\babylon\setup\htmlscreens\toolbar.jpg
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\welcome.html
%LOCALAPPDATA%\babylon\setup\htmlscreens\page2.js
%LOCALAPPDATA%\babylon\setup\htmlscreens\page2lrg.css
%LOCALAPPDATA%\babylon\setup\bab033.tbinst.dat
%APPDATA%\babylon\log_file.txt
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\sqlite3.dll
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\bab033.tbinst.dat
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\bab091.norecovericon.dat
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\babylon.dat
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\htmlscreens\common.js
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\htmlscreens\eula.html
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\htmlscreens\page2.css
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\htmlscreens\page2.html
%TEMP%\nsx6fa4.tmp\mybabylontb.exe
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\htmlscreens\page2.js
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\htmlscreens\page9.html
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\htmlscreens\pbar.gif
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\htmlscreens\title2.png
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\htmlscreens\toolbar.jpg
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\htmlscreens\thumbs.db
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\setup.exe
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\setupstrings.dat
%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\htmlscreens\page2lrg.css
%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012024083020240831\index.dat
%TEMP%\nsx6fa4.tmp\nsisdl.dll

Удаляет следующие файлы

%TEMP%\nsx6fa4.tmp\mybabylontb.exe
%TEMP%\nsx6fa4.tmp\nsisdl.dll
%TEMP%\nsx6fa4.tmp\system.dll

Сетевая активность

Подключается к

'ba##lon.com':80
'in##.#abylon.com':80
'co###rack.com':80
'hu###omains.com':80

TCP

Запросы HTTP GET

http://in##.#abylon.com/setup/downloader.php?ve##################################################################################################################################################...
http://www.co###rack.com/regbb/{263BBE1C-A452-4581-8397-9EB93BDC0371}|1|1186|0
http://www.hu###omains.com/domain_profile.cfm?d=#############

UDP

DNS ASK ba##lon.com
DNS ASK in##.#abylon.com
DNS ASK co###rack.com
DNS ASK hu###omains.com

Другое

Ищет следующие окна

ClassName: 'Babylon' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\nsx6fa4.tmp\mybabylontb.exe' /babTrack="affID=108288" /srcExt=ss /instlref=sst /aflt=babsst /s -notb /rt
'%TEMP%\c98fb996-bab0-7891-a8e1-f1adaa3cc682\setup.exe' /babTrack="affID=108288" /srcExt=ss /instlref=sst /aflt=babsst /s -notb /rt