#telegram-cn #Fake #Telegram #金眼狗（APT-Q-27）(2022-06-19)

Jirehlov1234

https://jirehlov.lanzouh.com/isDTq06mx48j

https://www.virustotal.com/gui/f ... 7ee327e4c23/details

https://www.virustotal.com/gui/f ... c9fa2b33a74/details

new msi and dll, same dl link
msi is signed with the revoked cert, dll is not signed
new side-loading chain




看样子是在尝试新的白加黑链

上一集：https://bbs.kafan.cn/thread-2237426-1-1.html

rogersg

Kaspersky 扫描Miss
双击 主防杀

1. 事件: 检测到恶意对象
   
2. 应用程序: Windows® installer
   
3. 用户: DESKTOP-I059TEB\Admin
   
4. 用户类型: 活动用户
   
5. 组件: 系统监控
   
6. 结果说明: 检测到
   
7. 类型: 木马
   
8. 名称: PDM:Trojan.Win32.Generic
   
9. 威胁级别: 高
   
10. 对象类型: 进程
    
11. 对象路径: c:\users\admin\desktop
    
12. 对象名称: tsetupx64.msi

复制代码

Microsoft Defender 扫描Miss
双击，成功安装，运行后报

1. Time Created  : 2022/6/19 14:40:43
   
2. ProviderName : Microsoft-Windows-Windows Defender
   
3. Id           : 1116
   
4. Message      : Microsoft Defender 防病毒 检测到恶意软件或其他可能不需要的软件。
   
5.                 有关详细信息，请参阅以下内容:
   
6.                https://go.microsoft.com/fwlink/?linkid=37020&name=Behavior:Win32/NonStdSvchost.A&threatid=2147757925&enterprise=0
   
7.                         名称: Behavior:Win32/NonStdSvchost.A
   
8.                         ID: 2147757925
   
9.                         严重性: 严重
   
10.                         类别: 可疑行为
    
11.                         路径: behavior:_pid:3956:59046009307688; process:_pid:4636,ProcessStart:133000944433339973
    
12.                         检测起源: 未知
    
13.                         检测类型: 实际
    
14.                         检测源: 未知
    
15.                         用户:
    
16.                         进程名称: Unknown
    
17.                         安全智能版本: AV: 1.367.1787.0, AS: 1.367.1787.0, NIS: 1.367.1787.0
    
18.                         引擎版本: AM: 1.1.19200.6, NIS: 1.1.19200.6

复制代码

但很无语，MD 不杀这个假的svchost.exe，然后后台疯狂重启，MD疯狂报毒


ESET 扫描Miss
双击安装完成后内存扫描杀

同样，只是结束进程，不杀本体，仍然疯狂报毒
Operating memory » svchost.exe(3516) - a variant of Win32/Spy.Agent.QGU trojan

1. Time;Scanner;Object type;Object;Detection;Action;User;Information;Hash;First seen here
   
2. 2022/6/19 15:32:30;Advanced memory scanner;file;Operating memory » svchost.exe(3516);a variant of Win32/Spy.Agent.QGU trojan;contained infected files (after the next restart);;;51A7C36B3EBE7EA13575D2E8F698EC01297122B5;
   

复制代码

Bitdefender 扫描Miss
双击安装成功，运行后杀衍生物
SuspiciousBehavior.88AC764A1CA374AB
xAl5WbWNF8iWV1yq.bat - Heur.BZC.ONG.Cheetah.4.29FC4C30

1. Application svchost.exe has been detected as potentially malicious and was blocked.
   
2. Application path: C:\Users\Admin\AppData\Roaming\Telegram Desktop\svchost.exe
   
3. Command line parameters: "C:\Users\Admin\AppData\Roaming\Telegram Desktop\svchost.exe" go
   
4. Detection ID: SuspiciousBehavior.88AC764A1CA374AB

复制代码

biue

火绒

netweb

ESET
监控+扫描 miss

ELG miss

---

生如夏花之绚烂，死如秋叶之静美  
2022/6/19 下午3:37:49
bye  
From The Amazing Artifact：Netscape         

hushuai

BD和卡巴在假tg这个大类表现的跟以前都差不多
卡巴是双击安装后SW杀，或者杀全家或者只留tg本体
BD是安装后杀bat衍生物，双击svchost就杀bat衍生物

喀反

360

anthonyqian

Avira 安装完成后打开时报IObitUnlocker.dll 为 HEUR/APC。

00006666

编辑

kuroandsan

Norton 安装成功后双击隔离IObitUnlocker.dll

wwwab

00006666 发表于 2022-6-19 14:50
@wowocock 这个样本改一下拉黑吧，现在是高风险

wowo好像周末不上线哎