Technical Information
Modifies file system
Creates the following files
- %TEMP%\is-he3ak.tmp\<File name>.tmp
- %ProgramFiles(x86)%\quia\vero\is-hohep.tmp
- %ProgramFiles(x86)%\quia\vero\is-g829k.tmp
- %ProgramFiles(x86)%\quia\vero\is-2c111.tmp
- %ProgramFiles(x86)%\quia\vero\is-8ldji.tmp
- %ProgramFiles(x86)%\quia\vero\is-dt0eh.tmp
- %ProgramFiles(x86)%\quia\vero\is-oudi5.tmp
- %ProgramFiles(x86)%\quia\vero\is-gf2c5.tmp
- %ProgramFiles(x86)%\quia\vero\is-alk36.tmp
- %ProgramFiles(x86)%\quia\vero\is-ofsj2.tmp
- %ProgramFiles(x86)%\quia\necessitatibus\is-l65bm.tmp
- %ProgramFiles(x86)%\quia\necessitatibus\is-hqdal.tmp
- %ProgramFiles(x86)%\quia\necessitatibus\is-c0opt.tmp
- %ProgramFiles(x86)%\quia\necessitatibus\is-nql2j.tmp
- %ProgramFiles(x86)%\quia\necessitatibus\is-9c4nc.tmp
- %ProgramFiles(x86)%\quia\necessitatibus\is-1rosp.tmp
- %ProgramFiles(x86)%\quia\is-hdoat.tmp
- %ProgramFiles(x86)%\quia\is-5b17d.tmp
- %ProgramFiles(x86)%\quia\is-pd8ah.tmp
- %ProgramFiles(x86)%\quia\is-i396q.tmp
- %ProgramFiles(x86)%\quia\is-c9hth.tmp
- %ProgramFiles(x86)%\quia\is-a5ifn.tmp
- %ProgramFiles(x86)%\quia\is-vjoed.tmp
- %TEMP%\is-7shh0.tmp\_isetup\_iscrypt.dll
- %TEMP%\is-7shh0.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-7shh0.tmp\_isetup\_setup64.tmp
- %ProgramFiles(x86)%\quia\vero\is-d2hbp.tmp
- %ProgramFiles(x86)%\quia\unins000.dat
Moves the following files
- from %ProgramFiles(x86)%\quia\is-vjoed.tmp to %ProgramFiles(x86)%\quia\unins000.exe
- from %ProgramFiles(x86)%\quia\vero\is-g829k.tmp to %ProgramFiles(x86)%\quia\vero\quod.log
- from %ProgramFiles(x86)%\quia\vero\is-2c111.tmp to %ProgramFiles(x86)%\quia\vero\quam.htm
- from %ProgramFiles(x86)%\quia\vero\is-8ldji.tmp to %ProgramFiles(x86)%\quia\vero\quaerat.pif
- from %ProgramFiles(x86)%\quia\vero\is-dt0eh.tmp to %ProgramFiles(x86)%\quia\vero\non.sdf
- from %ProgramFiles(x86)%\quia\vero\is-oudi5.tmp to %ProgramFiles(x86)%\quia\vero\minima.htm
- from %ProgramFiles(x86)%\quia\vero\is-gf2c5.tmp to %ProgramFiles(x86)%\quia\vero\fugiat.key
- from %ProgramFiles(x86)%\quia\vero\is-alk36.tmp to %ProgramFiles(x86)%\quia\vero\eum.msi
- from %ProgramFiles(x86)%\quia\vero\is-ofsj2.tmp to %ProgramFiles(x86)%\quia\vero\ea.msi
- from %ProgramFiles(x86)%\quia\necessitatibus\is-l65bm.tmp to %ProgramFiles(x86)%\quia\necessitatibus\sqlite3.dll
- from %ProgramFiles(x86)%\quia\vero\is-hohep.tmp to %ProgramFiles(x86)%\quia\vero\ratione.txt
- from %ProgramFiles(x86)%\quia\necessitatibus\is-hqdal.tmp to %ProgramFiles(x86)%\quia\necessitatibus\ut.sdf
- from %ProgramFiles(x86)%\quia\necessitatibus\is-nql2j.tmp to %ProgramFiles(x86)%\quia\necessitatibus\omnis.wav
- from %ProgramFiles(x86)%\quia\necessitatibus\is-9c4nc.tmp to %ProgramFiles(x86)%\quia\necessitatibus\omnis.7z
- from %ProgramFiles(x86)%\quia\necessitatibus\is-1rosp.tmp to %ProgramFiles(x86)%\quia\necessitatibus\mollitia.exe
- from %ProgramFiles(x86)%\quia\is-hdoat.tmp to %ProgramFiles(x86)%\quia\saepe.asf
- from %ProgramFiles(x86)%\quia\is-5b17d.tmp to %ProgramFiles(x86)%\quia\quis.asf
- from %ProgramFiles(x86)%\quia\is-pd8ah.tmp to %ProgramFiles(x86)%\quia\qui.rar
- from %ProgramFiles(x86)%\quia\is-i396q.tmp to %ProgramFiles(x86)%\quia\nesciunt.7z
- from %ProgramFiles(x86)%\quia\is-c9hth.tmp to %ProgramFiles(x86)%\quia\delectus.avi
- from %ProgramFiles(x86)%\quia\is-a5ifn.tmp to %ProgramFiles(x86)%\quia\corrupti.mp3
- from %ProgramFiles(x86)%\quia\necessitatibus\is-c0opt.tmp to %ProgramFiles(x86)%\quia\necessitatibus\optio.wpd
- from %ProgramFiles(x86)%\quia\vero\is-d2hbp.tmp to %ProgramFiles(x86)%\quia\vero\sed.txt
Network activity
TCP
HTTP POST requests
- http://cl###etapi.com/v2/events
UDP
- DNS ASK cl###etapi.com
Miscellaneous
Searches for the following windows
- ClassName: 'A857BBFD-8A6F-41A8-8E0F-C54FB4B79982' WindowName: ''
Creates and executes the following
- '%TEMP%\is-he3ak.tmp\<File name>.tmp' /SL5="$11020C,2925553,114176,<Full path to file>"
- '%ProgramFiles(x86)%\quia\necessitatibus\mollitia.exe' d1fd6e02a5d5c7051addc323a9b90fcb
