FakeTG 2X

hsks

还说今天没什么新的活动呢


hxxps://sites.google.com/view/abasltats/%E9%A6%96%E9%A1%B5
To：hxxps://telegram-110820.oss-cn-hongkong.aliyuncs.com/tsetup-x64.4.9.1.msi

hxxps://docs.google.com/forms/d/e/1FAIpQLSehWIzBp8ApwaL1nPDLB5EU9lt504e-KxsNZgq0ITmzzMhjvw/viewform
To：hxxps://www.telegramos.cn/
To：hxxps://kuaikuai112.oss-cn-hongkong.aliyuncs.com/tsetup-x64.4.9.1.exe

不过样本似乎有点问题凑合着吧

https://cowtransfer.com/s/b2a7db45e7a04b

Eset小粉絲

1. tsetup-x64.4.9.1.exe » ADVANCEDINSTALLER » 9106702\FILES.7z » 7ZIP » PublicDocumentsFolder/KB » ZIP » COMSupport.dll - a variant of Win32/Agent.ACHV.gen trojan
   
2. tsetup-x64.4.9.1.exe » ADVANCEDINSTALLER » 9106702\FILES.7z » 7ZIP » PublicDocumentsFolder/KB » ZIP » Application2/COMSupport.dll - a variant of Win32/Agent.ACHV.gen trojan
   
3. tsetup-x64.4.9.1.exe » ADVANCEDINSTALLER » 9106702\FILES.7z » 7ZIP » COMSupport.dll - a variant of Win32/GenKryptik.CUWQ trojan
   
4. tsetup-x64.4.9.1.exe » ADVANCEDINSTALLER » 9106702\FILES.7z » 7ZIP » PublicDocumentsFolder/COMSupport.dll - a variant of Win32/GenKryptik.CUWQ trojan
   
5. tsetup-x64.4.9.1.exe » ADVANCEDINSTALLER » 9106702\FILES.7z » 7ZIP » PublicDocumentsFolder/TestDLL.dll - a variant of Win32/Agent.ACHV.gen trojan
   
6. tsetup-x64.4.9.1.exe » ADVANCEDINSTALLER » 9106702\FILES.7z » 7ZIP » TestDLL.dll - a variant of Win32/Agent.ACHV.gen trojan
   
7. tsetup-x64.4.9.1.msi » MSI » _E57CC7D459BE8737F51D80C51D2C4EB8 » CAB » _F4BAB4327ADC4F259754D58E12071227 - a variant of Win32/TrojanDropper.Agent.SVT trojan

复制代码

117054487

s1执行kill两个dll 然而还是凉凉
第一个执行会卡安装

发呆的阿狸~

117054487 发表于 2023-8-26 00:04
s1执行kill两个dll 然而还是凉凉
第一个执行会卡安装

S1的防护那么拉么...感觉各种双击MISS如果不懂用EDR的岂不是...

hansyu

McAfee
ti!7C3D6F6CE2AA
msi 扫描missed

，就一个.

BEST

第一个

实时防护检测到威胁。该文件已被删除。 C:\Program Files\T中文版\T中文版\4.exe 是恶意软件 Gen:Variant.Midie.127898


第二个

C:\Users\XX\AppData\Roaming\Telegram Desktop\Telegram Desktop 中文版 4.1.0\install\9106702\PublicDocumentsFolder\KB

高级威胁防护阻止了一个恶意进程。 进程路径: C:\Windows\SysWOW64\rundll32.exe. 威胁名称: ATC.SuspiciousBehavior.C0483549383E8FC9.

高级威胁防护已开始对恶意进程执行清除操作。 进程路径: C:\Windows\SysWOW64\rundll32.exe. 威胁名称: ATC.SuspiciousBehavior.C0483549383E8FC9.

t0kenzero

DI两个都拦了（没搞懂DI怎么手动查杀hmm

hhhq316

蜘蛛扫描杀msⅰ，双击exe漏了

117054487

发呆的阿狸~ 发表于 2023-8-26 00:17
S1的防护那么拉么...感觉各种双击MISS如果不懂用EDR的岂不是...

我也不知道，官网毛的试用，检测能开的全开了

dght432

类型:包含木马的压缩包文件
描述:包含至少 1 个木马程序
_E57CC7D459BE8737F51D80C51D2C4EB8=>_F4BAB4327ADC4F259754D58E12071227 : Win32/TrojanDropper.Generic.HgIATIgA

扫描引擎:云安全引擎
位置:D:\360安全浏览器下载\Downloads(2)\tsetup-x64.4.9.1.msi
处理建议:隔离文件