#fake #telegram (2022-09-29)

Jirehlov1234

https://pan.jirehlov.com/20220929/2r3.7z

https://www.virustotal.com/gui/f ... dab17280c/detection

wwwab

经典套路，解包msi有个cab，解包cab有恶意程序

秋日之殇

下载不下来

123456aaaafsdeg

下载不了

wwwab

还释放了个RAR.exe解压文件

360FileGuard.dat好像是白利用

底下还有很多0报毒dll不排除也是白利用文件或者恶意文件



其中根据某个0报毒dll找到了个同源样本loader.exe（b9c7bc4c47b665407fe8907b01c78b2df3738ea451c9c2478a3af9c34d79f9b0），释放出来的衍生物文件名也几乎一致，是个下载者木马，试了一下衍生物仍可被下载


hxxp://a4g.oss-cn-hongkong.aliyuncs.com/PowerPort/9141/Power.olg
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/Rds.bat
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/Tomorrow/LowDa1.dll
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/Tomorrow/LowDa3.dll
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/zero.txt
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/lodata3.dll
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/Tomorrow/LowDa9.dll
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/Tomorrow/LowDa2.dll
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/Tomorrow/LowDa5.dll
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/LowDaWinar.dll
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/Tomorrow/LowDa7.dll
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/nnloader.exe
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/srutrr.bat
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/inatall.jpg
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/ipaip1.exe
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/Tomorrow/LowDa4.dll
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/Tomorrow/LowDa6.dll
hxxp://a4g.oss-cn-hongkong.aliyuncs.com/Power/lodata1.dll

123456aaaafsdeg

wwwab 发表于 2022-9-29 22:09
还释放了个RAR.exe解压文件

360FileGuard.dat好像是白利用

hongkong的阿里云，应该没备案？

aboringman

智量（9.22，断网），杀1衍生物

1. 2022-09-29 22:11:33 C:\Users\123\AppData\Roaming\MouseRoaming\MouseRun2\skin\libcef.dll                                 MEMRAY:MalCode.A   
   
2. 
   
3. 2022-09-29 22:11:33 C:\Windows\SysWOW64\regedit.exe                                                                     MEMRAY:MalCode.A0

复制代码

更新到最新，联网状态下

1. 2022-09-29 22:18:36 C:\Users\123\AppData\Roaming\MouseRoaming\MouseRun2\skin\libcef.dll                                 InsTracer:DllSideLoading.J
   
2. 
   
3. 2022-09-29 22:18:35 C:\Users\123\AppData\Roaming\MouseRoaming\MouseRun2\skin\Run\libcef.dll                             InsTracer:DllSideLoading.J（实际只有这个是不存在的，另一个还在原位）

复制代码

安装过程被打断（卡死），但是似乎多了些什么。。。。。。

wwwab

123456aaaafsdeg 发表于 2022-9-29 22:12
hongkong的阿里云，应该没备案？

这个样本的cab里面，释放了个360FileGuard.dat，同源样本释放了个360AppCore.exe，这是什么新型的白利用方式吗

wwwab

aboringman 发表于 2022-9-29 22:13
智量（9.22，断网），杀1衍生物

同源样本是有个libcef.dll，这个样本的libcef.dll提取上传看看

Jirehlov1234

123456aaaafsdeg 发表于 2022-9-29 14:12
hongkong的阿里云，应该没备案？

上游是telagarm[.com，在阿里注册的