FakeTG

显示全部楼层 · 发表于 2023-9-16 23:25:13

本帖最后由 hsks 于 2023-9-16 23:40 编辑

新鲜的，半小时前上线到谷歌里的
hxxps://www.telegrrram.com/
hxxps://vccoo.aopdkv.cn/x64-china.msi

https://cowtransfer.com/s/062b9d4e1c774c

似乎跟之前传播WHQL loader那个FakeTG是同源的？这次不是有道云笔记了（）
@swizzer @wwwab

黑dllhttps://www.virustotal.com/gui/f ... 10a01fe7d?nocache=1

显示全部楼层 · 发表于 2023-9-17 00:23:24

金山毒霸扫描miss

显示全部楼层 · 发表于 2023-9-17 00:52:20

狙杀。

显示全部楼层 · 发表于 2023-9-17 01:00:33

卡饭是被D了吗？

显示全部楼层 · 发表于 2023-9-17 01:01:16

本帖最后由 swizzer 于 2023-9-17 01:07 编辑

最早在两天前就出现了。@hsks
https://bbs.kafan.cn/thread-2260619-1-1.html里的1.exe就释放了同hash的文件(exe&dll)。
3楼的截图里那个文件的行为跟上面的1.exe几乎完全一致。

显示全部楼层 · 发表于 2023-9-17 01:07:05

swizzer 发表于 2023-9-17 01:01
最早在两天前就出现了。@hsks
https://bbs.kafan.cn/thread-2260619-1-1.html里的1.exe就释放了同hash的文 ...

从VT来看的话至少4天了
https://www.virustotal.com/gui/f ... f863cbe65e60c33c9ed

看起来FakeAPP是后期才开始分发的（）

显示全部楼层 · 发表于 2023-9-17 01:14:31

本帖最后由 swizzer 于 2023-9-17 01:29 编辑

hsks 发表于 2023-9-17 01:07
从VT来看的话至少4天了
https://www.virustotal.com/gui/file/392159a1c74789d0db5540600f7775f32991369 ...

看了看，确实是完全同源的，目录结构和加载手法从一开始被当作Keylogger捕获的时候就没怎么变过。不过实现持久化的方式似乎多了一种，修改

SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers

复制代码

并且似乎现在不会释放那个引发蓝屏的衍生物了（？

这么看来的话FakeApp和国内一系列通过群聊分发的Gh0stRAT基本就是同一群人搞的；并且几乎清一色的#Gh0stRAT，分体加载+内存解密(目录结构几乎都是一样的白exe+灰dll+黑txt)，也印证了微步之前分析的"银狐不是组织而是工具"的结论。

显示全部楼层 · 发表于 2023-9-17 09:01:52

本帖最后由初心．杰于 2023-9-17 09:28 编辑

诺顿 miss

EMSI 拦截衍生物

Avira miss

Avast kill

BDTS 拦截衍生物

显示全部楼层 · 发表于 2023-9-17 09:12:47

类型:木马-Win32/Backdoor.Generic.HnoATKAA
描述:木马是一种伪装成正常文件的恶意软件，会盗取您的帐号、密码等隐私资料。
扫描引擎:云安全引擎
文件路径:D:\下载\x64-china\x64-china.msi
文件大小:54.60M (57,247,744 字节)
文件指纹（MD5）:abe224146df82b6b43bba2fb96d3fd0d
处理建议:隔离文件

显示全部楼层 · 发表于 2023-9-17 09:41:41

火绒
扫描：MISS

[病毒样本] FakeTG

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源