【更新，共6个】Fake Telegram(s)

显示全部楼层 · 发表于 2022-6-9 10:56:46

本帖最后由 hushuai 于 2022-6-8 22:48 编辑

随便Google Telegram中文版就在第一页搞到了个最新样本，上传VT的时候还是新鲜的

卡巴扫描杀，BD双击杀衍生物。
域名 www.teleddown]com
VT 6/56
https://www.virustotal.com/gui/file/e9f97d3a5df042ca302b7e754d3f34420150340e42b466009269037029492ebf
https://cowtransfer.com/s/2834a25845524d

域名：www.teleylc]com
22331.oss-cn-hongkong]aliyuncs.com
VT 22/65
https://www.virustotal.com/gui/file/027ea0e53058ef1bbf70db624977e4990899c8a74f65729441d2768c4b7930a9
https://cowtransfer.com/s/c2c359eb81f64a

域名：www.telegramstr]com
这个域名在 @Jirehlov1234 的列表里
VT 0/57
VirusTotal - File - 9a6e29f17361ade4427dee54af9a382c9da5f3b18797125edbfd54e0be646617
https://cowtransfer.com/s/9d7a414f3f4447

这个忘了域名了，5月20号生成的，VT 8/58
https://www.virustotal.com/gui/file/bb40605c186f54bc31c40c5e750df8b16bbaa7d4500059d86e4bf38b0fab25f8
https://cowtransfer.com/s/1283debcaa8448

域名 telegramcn]org这个有数字签名，卡巴信任
VT 0/66
https://www.virustotal.com/gui/file/1643d10c9eedcbe5fd4881d8f5a63cd07061e35723002603238a33629d9aff8b
https://cowtransfer.com/s/e31e488fc8914c

域名 www.telegrann]org
这个样本3月22生成，有数字签名
VT 22/68 卡巴miss，双击PDM杀
VirusTotal - File - 8e6988173a352524900c42e245b704e2e72cd4d7cedf501c8219fbd6a1d46308
https://cowtransfer.com/s/1282d82007d541

我停了，本来我就想发一个的，没想到我捅到窝了

显示全部楼层 · 发表于 2022-6-9 10:58:58

网页域名是哪个

显示全部楼层 · 发表于 2022-6-9 10:59:58

本帖最后由 aboringman 于 2022-6-9 11:50 编辑

360：miss

2

3 miss

4

5 miss

6

显示全部楼层 · 发表于 2022-6-9 11:02:29

Jirehlov1234 发表于 2022-6-8 21:58
网页域名是哪个

你让我找找，我现在又发现一个老的但杀的少的，还有一个昨天新鲜的，这怎么一搜就遍地都是

显示全部楼层 · 发表于 2022-6-9 11:04:14

hushuai 发表于 2022-6-9 03:02
你让我找找，我现在又发现一个老的但杀的少的，还有一个昨天新鲜的，这怎么一搜就遍地都是

很多系列是同时拥有多个域名来传播的，看一下有没有在我的合集https://github.com/Jirehlov/IoCs/blob/main/fake_telegram.txt里

显示全部楼层 · 发表于 2022-6-9 11:04:58

Jirehlov1234 发表于 2022-6-9 11:04
很多系列是同时拥有多个域名来传播的，看一下有没有在我的合集https://github.com/Jirehlov/IoCs/blob/ma ...

牛啊，还有合集

显示全部楼层 · 发表于 2022-6-9 11:05:21

好玩的是，我刚才在media fire上上传这个文件准备给BD上报，结果

显示全部楼层 · 发表于 2022-6-9 11:05:32

本帖最后由 anthonyqian 于 2022-6-9 12:04 编辑

ESET

1. Telegram 中文版.msi > MSI > AI_ChainedPackageFile.Xhyydqia82onijise.exe - Win32/Kryptik.GAQN 特洛伊木马的变量 - 已删除

2. Win32/GenKryptik.EXIN

3. missed

4. Telegram.msi > MSI > disk1.cab > CAB > libexpat.dll - Win32/Packed.VMProtect.ACR 特洛伊木马的变量 - 已删除

5. missed

6. Suspicious Obj

显示全部楼层 · 发表于 2022-6-9 11:06:19

360右键扫描miss，实机就不安装了。
大概是盗号的，不过毕竟是国外软件，国内没反应也挺正常

显示全部楼层 · 发表于 2022-6-9 11:07:44

本帖最后由 lingdu233 于 2022-6-9 14:15 编辑

伞
第一个
扫描miss
双击安装完成后打开Tele时击杀一衍生物

第二个
解压杀

第三个
双击miss

第四个
双击miss

第六个
扫描杀

[病毒样本] 【更新，共6个】Fake Telegram(s)

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块