#telegram-cn #Fake #Telegram #金眼狗（APT-Q-27）(2022-06-19)

swizzer

UNknownOoo

智量
扫描：miss
双击：IObitUnlocker.dll➡InsTracer:DllSideLoading.G00 (第一次见这种报法)
第二次双击：IObitUnlocker.dll➡Heur.ML.PE.B

lvseqiji

UNknownOoo 发表于 2022-6-19 15:34
智量
扫描：miss
双击：IObitUnlocker.dll➡InsTracer:DllSideLoading.G00 (第一次见这种报法)

指令追踪，专门用来杀白加黑的技术

Jirehlov1234

发现了这个链的另一个传播域名，channel 15号更新
telegrcn[.co
->
https://yt3[.sgp1.digitaloceanspaces.com/tsetupx64.zip

00006666

手动添加信任MSI安装包

安装完成后，点击安装包界面上的启动按钮

拦截白加黑DLL劫持

1. 时间        操作        说明        次数
   
2. 2022-06-19 20:25:29        [已阻止]          动态链接库劫持        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Windows\SysWOW64\msiexec.exe
   
5. 动作：动态链接库劫持
   
6. 路径：C:\Users\Administrator\AppData\Roaming\Telegram Desktop\svchost.exe
   
7. 风险文件：C:\Users\Administrator\AppData\Roaming\Telegram Desktop\IObitUnlocker.dll
   
8. 防护信息: AD|10, 20, 50||
   

复制代码

心心相印

md kill

00006666

Jirehlov1234 发表于 2022-6-19 19:44
发现了这个链的另一个传播域名，channel 15号更新
telegrcn[.co
->

感觉现在这条链的免杀几乎等于没有免杀……，用的白加黑DLL好像还不如以前……

Jirehlov1234

00006666 发表于 2022-6-19 12:40
感觉现在这条链的免杀几乎等于没有免杀……，用的白加黑DLL好像还不如以前……

今天这个都没签名，显然只是试试水。昨天向sectigo举报把签名吊销了，他们弄新签名还要一段时间

ANY.LNK

微软目前解压直接捶死Trojan:Script/Wacatac.B!ml
尝试提取关键文件上报