Проснифал я, все пакеты посылаеься по маске sitename.com?refid=.
Все распаковал, открыл hex редактором, нашел то, что нужно, НО (!) refid подменять нельзя. Т.е. можно что угодно написать вместо самой ссылки, но если после refid= поставть какие-нибудь цифры, то ничего не выходит.