Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'webrebates' = '"%PROGRAM_FILES%\WebRebates4\webrebates.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\WebRebates4\webrebates.exe
Ищет следующие окна с целью
обнаружения различных программ и игр:
- ClassName: 'AOL Frame25' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\toprC0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\websrebates\webprebates.dat
- %PROGRAM_FILES%\WebRebates4\webdrebates\t5086526c3381.dat
- %PROGRAM_FILES%\WebRebates4\webdrebates\%USERNAME%\m5086527bb87.dat
- %PROGRAM_FILES%\WebRebates4\webdrebates\webzrebates.dat
- %PROGRAM_FILES%\WebRebates4\websrebates\websrebates\websrebates.dat
- %PROGRAM_FILES%\WebRebates4\websrebates\Images\topr_c_pop_circles.gif
- %PROGRAM_FILES%\WebRebates4\websrebates\Images\topr_c_hdr_settings_toprebates.gif
- %PROGRAM_FILES%\WebRebates4\websrebates\Images\topr_c_pop_circles_bg2.gif
- %PROGRAM_FILES%\WebRebates4\websrebates\websrebates\weblrebates.dat
- %PROGRAM_FILES%\WebRebates4\websrebates\Images\topr_c_warning.gif
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\toprupmf0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\toprrpmf0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\toprxpmp0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\log.txt
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\toprxpms0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\toprr1.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\ftoprrpms0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\ftoprrpmp0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\ftoprupmp0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\toprp1.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\webtrebates\ftoprupms0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\Html\ftoprRPMS0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\Html\ftoprRPMP0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\Html\ftoprUPMP0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\Html\toprC0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\Html\ftoprUPMS0.htm
- %PROGRAM_FILES%\WebRebates4\webarebates\topr11150.dat
- %PROGRAM_FILES%\WebRebates4\webrebates.exe
- %PROGRAM_FILES%\WebRebates4\webrebates.dll
- %PROGRAM_FILES%\WebRebates4\webrebates2.dll
- %PROGRAM_FILES%\WebRebates4\README.txt
- %PROGRAM_FILES%\WebRebates4\w11150.exe
- %PROGRAM_FILES%\WebRebates4\websrebates\Images\topr_c_envelope.gif
- %PROGRAM_FILES%\WebRebates4\websrebates\Images\topr_blnk.gif
- %PROGRAM_FILES%\WebRebates4\websrebates\Images\topr_c_footer.gif
- %PROGRAM_FILES%\WebRebates4\websrebates\Images\topr_c_hdr_settings.gif
- %PROGRAM_FILES%\WebRebates4\websrebates\Images\topr_c_hdr_autotrack_remove.gif
- %PROGRAM_FILES%\WebRebates4\websrebates\Html\toprXPMS0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\Html\toprR1.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\Html\toprP1.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\Html\toprRPMF0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\Html\toprXPMP0.htm
- %PROGRAM_FILES%\WebRebates4\websrebates\Html\toprUPMF0.htm
Сетевая активность:
Подключается к:
- 'www.to###bates.com':80
- 'www.to###xie2.com':80
- 'www.to###xie.com':80
TCP:
Запросы HTTP GET:
- www.to###xie2.com/external/builds/downloads2/mercequvsaved.dat
- www.to###xie.com/external/builds/downloads2/mercequvsaved.dat
- www.to###bates.com/cgi/acti.plx?cl#####################################
- www.to###xie2.com/external/builds/downloads2/merc11150.dat
- www.to###xie.com/external/builds/downloads2/merc11150.dat
- www.to###xie2.com/external/builds/downloads2/mercexclsaved.dat
- www.to###xie.com/external/builds/downloads2/topr11150updates.dat
- www.to###xie.com/external/builds/downloads2/build4updates.dat
- www.to###xie2.com/external/builds/downloads2/topr11150updates.dat
- www.to###xie.com/external/builds/downloads2/mercexclsaved.dat
- www.to###xie2.com/external/builds/downloads2/build4updates.dat
UDP:
- DNS ASK www.to###bates.com
- DNS ASK www.to###xie2.com
- DNS ASK www.to###xie.com
Другое:
Ищет следующие окна:
- ClassName: 'NativeHWNDHost' WindowName: ''
- ClassName: 'MozillaUIWindowClass' WindowName: ''
- ClassName: '#32770' WindowName: ''
- ClassName: 'HTML Application Host Window Class' WindowName: ''
- ClassName: 'NS_AE_WindowClass' WindowName: ''
- ClassName: 'CabinetWClass' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'MozillaWindowClass' WindowName: ''
- ClassName: '_AOL_CBROWSER' WindowName: ''
