Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '<SYSTEM32>\TWCSaver.scr'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\mfc71.dll файлом <SYSTEM32>\temp.000
- <SYSTEM32>\msvcp71.dll файлом <SYSTEM32>\temp.000
- <SYSTEM32>\msvcr71.dll файлом <SYSTEM32>\temp.000
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\GLC1.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\The Weather Channel\Screensaver\Uninstall.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\The Weather Channel\Screensaver\FAQ.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\The Weather Channel\Screensaver\Preferences.lnk
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH000a.TMP
- <SYSTEM32>\~GLH0009.TMP
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0008.TMP
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0007.TMP
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0006.TMP
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0005.TMP
- C:\~GLHTTP1.TMP
- <LS_APPDATA>\The Weather Channel\Screensaver\config.ini
- %TEMP%\Twc9.tmp
- <SYSTEM32>\~GLH0004.TMP
- <SYSTEM32>\~GLH0003.TMP
- <SYSTEM32>\temp.000
- <SYSTEM32>\~GLH0002.TMP
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0001.TMP
- %TEMP%\~GLH0000.TMP
- %TEMP%\GLG7.tmp
- %TEMP%\GLW5.tmp
- %TEMP%\GLM4.tmp
- %TEMP%\GLK3.tmp
- %TEMP%\GLJ2.tmp
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH000b.TMP
- <LS_APPDATA>\The Weather Channel\Desktop\~GLH000c.TMP
Удаляет следующие файлы:
- %TEMP%\GLW5.tmp
- <SYSTEM32>\mfc71.dll
- <SYSTEM32>\~GLH0002.TMP
- <SYSTEM32>\msvcp71.dll
- <SYSTEM32>\~GLH0003.TMP
- <SYSTEM32>\msvcr71.dll
- <SYSTEM32>\~GLH0004.TMP
- %TEMP%\Twc9.tmp
- C:\~GLHTTP1.TMP
Перемещает следующие файлы:
- %TEMP%\~GLH0000.TMP в %TEMP%\GLF8.tmp
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0001.TMP в %ProgramFiles%\The Weather Channel FW\Screensaver\TwcToolInstDll.dll
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0005.TMP в %ProgramFiles%\The Weather Channel FW\Screensaver\UNWISE.EXE
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0006.TMP в %ProgramFiles%\The Weather Channel FW\Screensaver\wxfw.dll
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0007.TMP в %ProgramFiles%\The Weather Channel FW\Screensaver\setuplnchr.exe
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH0008.TMP в %ProgramFiles%\The Weather Channel FW\Screensaver\sum2008.wxs
- <SYSTEM32>\~GLH0009.TMP в <SYSTEM32>\TWCSaver.scr
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH000a.TMP в %ProgramFiles%\The Weather Channel FW\Screensaver\configit.bat
- %ProgramFiles%\The Weather Channel FW\Screensaver\~GLH000b.TMP в %ProgramFiles%\The Weather Channel FW\Screensaver\Setup.dll
- <LS_APPDATA>\The Weather Channel\Desktop\~GLH000c.TMP в <LS_APPDATA>\The Weather Channel\Desktop\flow.xml
Подменяет следующие файлы:
- <SYSTEM32>\temp.000
Сетевая активность:
Подключается к:
- 'au##.#eather.com':80
- 'x.##wx.com':80
- 'do#####d.weather.com':80
- 'de#####fw.weather.com':80
TCP:
Запросы HTTP GET:
- http://au##.#eather.com/ursa/xml/desktop/installId?pr#####
- http://x.##wx.com/15/0?id###
- http://do#####d.weather.com/web/dwzeus/dw6/install/setupv1/Setup.dll
- http://de#####fw.weather.com/services/dwzeus/dw6/setupv1/flow.txt
UDP:
- DNS ASK au##.#eather.com
- DNS ASK x.##wx.com
- DNS ASK do#####d.weather.com
- DNS ASK de#####fw.weather.com
Другое:
Создает и запускает на исполнение:
- '%TEMP%\GLJ2.tmp' <SYSTEM32>\mfc71.dll
- '%TEMP%\GLJ2.tmp' <SYSTEM32>\msvcp71.dll
- '%TEMP%\GLJ2.tmp' <SYSTEM32>\msvcr71.dll
