搜索
查看: 946|回复: 22
收起左侧

[病毒样本] #telegram-cn #Fake #Telegram #金眼狗(APT-Q-27)(2022-06-19)

[复制链接]
Jirehlov1234
发表于 2022-6-19 14:27:45 | 显示全部楼层 |阅读模式
https://jirehlov.lanzouh.com/isDTq06mx48j

https://www.virustotal.com/gui/f ... 7ee327e4c23/details

https://www.virustotal.com/gui/f ... c9fa2b33a74/details

new msi and dll, same dl link
msi is signed with the revoked cert, dll is not signed
new side-loading chain




看样子是在尝试新的白加黑链

上一集:https://bbs.kafan.cn/thread-2237426-1-1.html



rogersg
发表于 2022-6-19 14:36:45 | 显示全部楼层
本帖最后由 rogersg 于 2022-6-19 16:31 编辑

Kaspersky 扫描Miss
双击 主防杀
  1. 事件: 检测到恶意对象
  2. 应用程序: Windows® installer
  3. 用户: DESKTOP-I059TEB\Admin
  4. 用户类型: 活动用户
  5. 组件: 系统监控
  6. 结果说明: 检测到
  7. 类型: 木马
  8. 名称: PDM:Trojan.Win32.Generic
  9. 威胁级别: 高
  10. 对象类型: 进程
  11. 对象路径: c:\users\admin\desktop
  12. 对象名称: tsetupx64.msi
复制代码

Microsoft Defender 扫描Miss
双击,成功安装,运行后报
  1. Time Created  : 2022/6/19 14:40:43
  2. ProviderName : Microsoft-Windows-Windows Defender
  3. Id           : 1116
  4. Message      : Microsoft Defender 防病毒 检测到恶意软件或其他可能不需要的软件。
  5.                 有关详细信息,请参阅以下内容:
  6.                https://go.microsoft.com/fwlink/?linkid=37020&name=Behavior:Win32/NonStdSvchost.A&threatid=2147757925&enterprise=0
  7.                         名称: Behavior:Win32/NonStdSvchost.A
  8.                         ID: 2147757925
  9.                         严重性: 严重
  10.                         类别: 可疑行为
  11.                         路径: behavior:_pid:3956:59046009307688; process:_pid:4636,ProcessStart:133000944433339973
  12.                         检测起源: 未知
  13.                         检测类型: 实际
  14.                         检测源: 未知
  15.                         用户:
  16.                         进程名称: Unknown
  17.                         安全智能版本: AV: 1.367.1787.0, AS: 1.367.1787.0, NIS: 1.367.1787.0
  18.                         引擎版本: AM: 1.1.19200.6, NIS: 1.1.19200.6
复制代码


但很无语,MD 不杀这个假的svchost.exe,然后后台疯狂重启,MD疯狂报毒


ESET 扫描Miss
双击安装完成后内存扫描杀

同样,只是结束进程,不杀本体,仍然疯狂报毒
Operating memory » svchost.exe(3516) - a variant of Win32/Spy.Agent.QGU trojan
  1. Time;Scanner;Object type;Object;Detection;Action;User;Information;Hash;First seen here
  2. 2022/6/19 15:32:30;Advanced memory scanner;file;Operating memory » svchost.exe(3516);a variant of Win32/Spy.Agent.QGU trojan;contained infected files (after the next restart);;;51A7C36B3EBE7EA13575D2E8F698EC01297122B5;
复制代码


Bitdefender 扫描Miss
双击安装成功,运行后杀衍生物
SuspiciousBehavior.88AC764A1CA374AB
xAl5WbWNF8iWV1yq.bat - Heur.BZC.ONG.Cheetah.4.29FC4C30
  1. Application svchost.exe has been detected as potentially malicious and was blocked.
  2. Application path: C:\Users\Admin\AppData\Roaming\Telegram Desktop\svchost.exe
  3. Command line parameters: "C:\Users\Admin\AppData\Roaming\Telegram Desktop\svchost.exe" go
  4. Detection ID: SuspiciousBehavior.88AC764A1CA374AB
复制代码












本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
biue
发表于 2022-6-19 14:37:15 | 显示全部楼层
火绒

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
netweb
发表于 2022-6-19 14:37:49 | 显示全部楼层
本帖最后由 netweb 于 2022-6-19 14:45 编辑

ESET
监控+扫描 miss

ELG miss









生如夏花之绚烂,死如秋叶之静美  
2022/6/19 下午3:37:49
bye  
From The Amazing Artifact:Netscape
         

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
hushuai
发表于 2022-6-19 14:44:49 | 显示全部楼层
BD和卡巴在假tg这个大类表现的跟以前都差不多
卡巴是双击安装后SW杀,或者杀全家或者只留tg本体
BD是安装后杀bat衍生物,双击svchost就杀bat衍生物
喀反
发表于 2022-6-19 14:48:44 | 显示全部楼层
360

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
anthonyqian
发表于 2022-6-19 14:50:07 | 显示全部楼层
Avira 安装完成后打开时报IObitUnlocker.dll 为 HEUR/APC。
00006666
发表于 2022-6-19 14:50:13 | 显示全部楼层
本帖最后由 00006666 于 2022-6-20 00:18 编辑

编辑
kuroandsan
发表于 2022-6-19 15:20:43 | 显示全部楼层
Norton 安装成功后双击隔离IObitUnlocker.dll
wwwab
发表于 2022-6-19 15:22:02 | 显示全部楼层
00006666 发表于 2022-6-19 14:50
@wowocock 这个样本改一下拉黑吧,现在是高风险

wowo好像周末不上线哎
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2022-6-30 13:31 , Processed in 0.133569 second(s), 17 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表