Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Encryption Shadow Plug Acquisition Human DLL' = '<SYSTEM32>\ptfhfplwozlg.exe'
Creates or modifies the following files:
- %HOMEPATH%\Start Menu\Programs\Startup\ptfhfplwozlg.exe
Malicious functions:
Executes the following:
- '<SYSTEM32>\ptfhfplwozlg.exe'
- '%TEMP%\ikckbz2w86pfsvbca2kx.exe'
Modifies file system:
Creates the following files:
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\user.js
- <SYSTEM32>\ptfhfplwozlg.exe
- %TEMP%\~DFA4CB.tmp
- <SYSTEM32>\iuxsjipksmo\tst
- %TEMP%\ikckbz2w86pfsvbca2kx.exe
Sets the 'hidden' attribute to the following files:
- <SYSTEM32>\ptfhfplwozlg.exe
Deletes the following files:
- %TEMP%\ikckbz2w86pfsvbca2kx.exe
Network activity:
Connects to:
- 'ti###rown.net':80
- 'mo###black.net':80
- 'ti###lain.net':80
- 'mo###grown.net':80
- 'ti###lack.net':80
- 'sh###plain.net':80
- 'de###lain.net':80
- 'sh###step.net':80
- 'de###tep.net':80
- 'en###grown.net':80
- 'li###rown.net':80
- 'en###plain.net':80
- 'li###lain.net':80
- 'en###black.net':80
- 'ti###tep.net':80
- 'mo###plain.net':80
- 'li###lack.net':80
- 'mo###step.net':80
- 'sh###grown.net':80
- 'al###step.net':80
- 'de####erstep.net':80
- 'pu###lack.net':80
- 'fr###yblack.net':80
- 'al###plain.net':80
- 'de####ergrown.net':80
- 'al###black.net':80
- 'de####erplain.net':80
- 'al###grown.net':80
- 'de###lack.net':80
- 'pu###tep.net':80
- 'de###rown.net':80
- 'sh###black.net':80
- 'fr###ystep.net':80
- 'pu###rown.net':80
- 'fr###ygrown.net':80
- 'pu###lain.net':80
- 'fr###yplain.net':80
- 'li###tep.net':80
- 'ju###ray.net':80
- 'mo###ray.net':80
- 'li###hot.net':80
- 'ab###ach.net':80
- 'so###tep.net':80
- 'lo###rown.net':80
- 'so###rown.net':80
- 'lo###lain.net':80
- 'so###lain.net':80
- 'pe###hecon.com':80
- 'th###rrefk.com':80
- 'el#####arimagine.com':80
- 'mo###uia.com':80
- 'ta###wash.net':80
- 'lo###oss.net':80
- 'so###about.net':80
- 'sa###ave.net':80
- 'yo###njoy.net':80
- 'lo###lack.net':80
- 'st###plain.net':80
- 'ba###lain.net':80
- 'st###step.net':80
- 'ba###tep.net':80
- 'st###grown.net':80
- 'ba###lack.net':80
- 'en###step.net':80
- 'ba###rown.net':80
- 'st###black.net':80
- 'sa###tep.net':80
- 'wh###plain.net':80
- 'so###lack.net':80
- 'wh###step.net':80
- 'sa###lain.net':80
- 'wh###black.net':80
- 'sa###lack.net':80
- 'wh###grown.net':80
- 'sa###rown.net':80
TCP:
HTTP GET requests:
- http://ti###rown.net/forum/search.php?me#######################################################################
- http://mo###black.net/forum/search.php?me#######################################################################
- http://ti###lain.net/forum/search.php?me#######################################################################
- http://mo###grown.net/forum/search.php?me#######################################################################
- http://ti###lack.net/forum/search.php?me#######################################################################
- http://sh###plain.net/forum/search.php?me#######################################################################
- http://de###lain.net/forum/search.php?me#######################################################################
- http://sh###step.net/forum/search.php?me#######################################################################
- http://de###tep.net/forum/search.php?me#######################################################################
- http://en###grown.net/forum/search.php?me#######################################################################
- http://li###rown.net/forum/search.php?me#######################################################################
- http://en###plain.net/forum/search.php?me#######################################################################
- http://li###lain.net/forum/search.php?me#######################################################################
- http://en###black.net/forum/search.php?me#######################################################################
- http://ti###tep.net/forum/search.php?me#######################################################################
- http://mo###plain.net/forum/search.php?me#######################################################################
- http://li###lack.net/forum/search.php?me#######################################################################
- http://mo###step.net/forum/search.php?me#######################################################################
- http://sh###grown.net/forum/search.php?me#######################################################################
- http://al###step.net/forum/search.php?me#######################################################################
- http://de####erstep.net/forum/search.php?me#######################################################################
- http://pu###lack.net/forum/search.php?me#######################################################################
- http://fr###yblack.net/forum/search.php?me#######################################################################
- http://al###plain.net/forum/search.php?me#######################################################################
- http://de####ergrown.net/forum/search.php?me#######################################################################
- http://al###black.net/forum/search.php?me#######################################################################
- http://de####erplain.net/forum/search.php?me#######################################################################
- http://al###grown.net/forum/search.php?me#######################################################################
- http://de###lack.net/forum/search.php?me#######################################################################
- http://pu###tep.net/forum/search.php?me#######################################################################
- http://de###rown.net/forum/search.php?me#######################################################################
- http://sh###black.net/forum/search.php?me#######################################################################
- http://fr###ystep.net/forum/search.php?me#######################################################################
- http://pu###rown.net/forum/search.php?me#######################################################################
- http://fr###ygrown.net/forum/search.php?me#######################################################################
- http://pu###lain.net/forum/search.php?me#######################################################################
- http://fr###yplain.net/forum/search.php?me#######################################################################
- http://li###tep.net/forum/search.php?me#######################################################################
- http://ju###ray.net/forum/search.php?me#######################################################################
- http://mo###ray.net/forum/search.php?me#######################################################################
- http://li###hot.net/forum/search.php?me#######################################################################
- http://ab###ach.net/forum/search.php?me#######################################################################
- http://so###tep.net/forum/search.php?me#######################################################################
- http://lo###rown.net/forum/search.php?me#######################################################################
- http://so###rown.net/forum/search.php?me#######################################################################
- http://lo###lain.net/forum/search.php?me#######################################################################
- http://so###lain.net/forum/search.php?me#######################################################################
- http://pe###hecon.com/forum/search.php?me#######################################################################
- http://th###rrefk.com/forum/search.php?me#######################################################################
- http://el#####arimagine.com/forum/search.php?me#######################################################################
- http://mo###uia.com/forum/search.php?me#######################################################################
- http://ta###wash.net/forum/search.php?me#######################################################################
- http://lo###oss.net/forum/search.php?me#######################################################################
- http://so###about.net/forum/search.php?me#######################################################################
- http://sa###ave.net/forum/search.php?me#######################################################################
- http://yo###njoy.net/forum/search.php?me#######################################################################
- http://lo###lack.net/forum/search.php?me#######################################################################
- http://st###plain.net/forum/search.php?me#######################################################################
- http://ba###lain.net/forum/search.php?me#######################################################################
- http://st###step.net/forum/search.php?me#######################################################################
- http://ba###tep.net/forum/search.php?me#######################################################################
- http://st###grown.net/forum/search.php?me#######################################################################
- http://ba###lack.net/forum/search.php?me#######################################################################
- http://en###step.net/forum/search.php?me#######################################################################
- http://ba###rown.net/forum/search.php?me#######################################################################
- http://st###black.net/forum/search.php?me#######################################################################
- http://sa###tep.net/forum/search.php?me#######################################################################
- http://wh###plain.net/forum/search.php?me#######################################################################
- http://so###lack.net/forum/search.php?me#######################################################################
- http://wh###step.net/forum/search.php?me#######################################################################
- http://sa###lain.net/forum/search.php?me#######################################################################
- http://wh###black.net/forum/search.php?me#######################################################################
- http://sa###lack.net/forum/search.php?me#######################################################################
- http://wh###grown.net/forum/search.php?me#######################################################################
- http://sa###rown.net/forum/search.php?me#######################################################################
UDP:
- DNS ASK mo###black.net
- DNS ASK ti###lack.net
- DNS ASK mo###grown.net
- DNS ASK ti###rown.net
- DNS ASK sh###step.net
- DNS ASK de###lain.net
- DNS ASK sh###grown.net
- DNS ASK de###tep.net
- DNS ASK sh###plain.net
- DNS ASK ti###lain.net
- DNS ASK en###grown.net
- DNS ASK li###rown.net
- DNS ASK en###plain.net
- DNS ASK li###lain.net
- DNS ASK en###black.net
- DNS ASK ti###tep.net
- DNS ASK mo###plain.net
- DNS ASK li###lack.net
- DNS ASK mo###step.net
- DNS ASK de####erstep.net
- DNS ASK al###plain.net
- DNS ASK fr###yblack.net
- DNS ASK al###step.net
- DNS ASK de####erplain.net
- DNS ASK al###black.net
- DNS ASK de####erblack.net
- DNS ASK al###grown.net
- DNS ASK de####ergrown.net
- DNS ASK pu###lack.net
- DNS ASK de###lack.net
- DNS ASK pu###tep.net
- DNS ASK de###rown.net
- DNS ASK sh###black.net
- DNS ASK fr###ystep.net
- DNS ASK pu###rown.net
- DNS ASK fr###ygrown.net
- DNS ASK pu###lain.net
- DNS ASK fr###yplain.net
- DNS ASK mo###ray.net
- DNS ASK so###tep.net
- DNS ASK ab###ach.net
- DNS ASK ju###ray.net
- DNS ASK lo###lain.net
- DNS ASK so###rown.net
- DNS ASK lo###lack.net
- DNS ASK so###lain.net
- DNS ASK lo###rown.net
- DNS ASK li###hot.net
- DNS ASK pe###hecon.com
- DNS ASK th###rrefk.com
- DNS ASK el#####arimagine.com
- DNS ASK mo###uia.com
- DNS ASK ta###wash.net
- DNS ASK lo###oss.net
- DNS ASK so###about.net
- DNS ASK sa###ave.net
- DNS ASK yo###njoy.net
- DNS ASK ba###lain.net
- DNS ASK st###grown.net
- DNS ASK ba###tep.net
- DNS ASK st###plain.net
- DNS ASK ba###rown.net
- DNS ASK en###step.net
- DNS ASK li###tep.net
- DNS ASK st###black.net
- DNS ASK ba###lack.net
- DNS ASK st###step.net
- DNS ASK sa###tep.net
- DNS ASK wh###plain.net
- DNS ASK so###lack.net
- DNS ASK wh###step.net
- DNS ASK sa###lain.net
- DNS ASK wh###black.net
- DNS ASK sa###lack.net
- DNS ASK wh###grown.net
- DNS ASK sa###rown.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'Shell_TrayWnd' WindowName: ''