Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WebRebates0' = '"%PROGRAM_FILES%\Web_Rebates\WebRebates0.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'djtopr1150.exe' = '"%TEMP%\djtopr1150.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WebRebates0' = '%PROGRAM_FILES%\Web_Rebates\WebRebates0.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\Web_Rebates\WebRebates0.exe
- %PROGRAM_FILES%\Web_Rebates\WebRebates1.exe
Ищет следующие окна с целью
обнаружения различных программ и игр:
- ClassName: 'AOL Frame25' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_register.gif
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_pop_settings.gif
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Tp1150\scri1150a.htm
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_register_footer.gif
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_pop_circles_3.gif
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_popup_toprebates_hdr_small2.gif
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_popup_toprebates_hdr_small.gif
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_pop_circles_2.gif
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_pop_circles.gif
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Tp1150\popo1150b_ub.htm
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Tp1150\popo1150b_rb.htm
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Tp1150\spec1150b_ub.htm
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Tp1150\spec1150b_rb.htm
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Tp1150\pref1150b.htm
- %PROGRAM_FILES%\Web_Rebates\Da1150\%USERNAME%\4faef70c1de1.dat
- %PROGRAM_FILES%\Web_Rebates\Da1150\4faef7046f57.dat
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Tp1150\log.txt
- %PROGRAM_FILES%\Web_Rebates\Da1150\1150sh.dat
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Images\topr_envelope.gif
- %PROGRAM_FILES%\Web_Rebates\Ap1150\psid1151.dat
- %PROGRAM_FILES%\Web_Rebates\README.txt
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Sy1150\1150_0.dat
- %PROGRAM_FILES%\Web_Rebates\Ap1150\topr1150.dat
- %PROGRAM_FILES%\Web_Rebates\disp1150.exe
- %TEMP%\djtopr1150.exe
- %TEMP%\jkill.exe
- %PROGRAM_FILES%\Web_Rebates\WebRebates0.exe
- %PROGRAM_FILES%\Web_Rebates\WebRebates1.exe
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Html\spec1150b_rb.htm
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Html\scri1150a.htm
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Images\p.gif
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Html\spec1150b_ub.htm
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Html\pref1150b.htm
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Sy1150\1150_2.dat
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Sy1150\1150_1.dat
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Html\popo1150b_ub.htm
- %PROGRAM_FILES%\Web_Rebates\Sy1150\Html\popo1150b_rb.htm
Сетевая активность:
Подключается к:
- 'www.to###xie2.com':80
- 'www.to###bates.com':80
- 'www.to###xie.com':80
TCP:
Запросы HTTP GET:
- www.to###xie.com/external/builds/downloads2/merc1151.dat
- www.to###xie2.com/external/builds/downloads2/merc1151.dat
- www.to###xie2.com/external/builds/downloads2/mercexcl.dat
- www.to###xie.com/external/builds/downloads2/mercexcl.dat
- www.to###bates.com/acti.asp?cl###################################
UDP:
- DNS ASK www.to###xie2.com
- DNS ASK www.to###bates.com
- DNS ASK www.to###xie.com
Другое:
Ищет следующие окна:
- ClassName: 'netscapeslaveclass' WindowName: ''
- ClassName: 'MozillaWindowClass' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'CabinetWClass' WindowName: ''
