Telegram 某汉化频道被投毒

[qwqdanchun]

今天无意间看到了一个 TG 的汉化频道，入眼就是一个 com 后缀的可执行文件，正好有时间就下载下来分析了一下

具体分析步骤就不赘述了，该文件为一个下载器，会释放 7zip 及压缩包至 C:\Users\Public\Downloads 目录，并在该位置通过快捷方式执行解压至文件夹 Tencente ，结果如图：

解压后得到一套经典的白加黑文件，利用的是 2003 年的一个 Outlook 的程序

除此之外，该样本使用了检测鼠标移动等方式绕过沙箱分析，通过近期国内黑产常用的断网方法绕过 360 等杀软对启动项的拦截

该频道有近 80 万关注者，且内容及其具有迷惑性，距离文件发出已经过去了一个半月，想来中招的人不在少数，希望大家注意不要轻易下载未知软件，保证自身安全

[ARerichvonlx]

防不胜防啊，这个汉化频道好像 2 年前停止维护了

[fantasylidong]

不知道是不是被卖了个好价格或者被坑了

[MaiKuraki]

这个频道的链接是？

[qwqdanchun]

@MaiKuraki https://t.me/zh_CN_Telegram_zh_CN_CN_zh_ch_zn

[jsgydcy]

卧槽，怎么排查用的哪个

[pcbl]

大概率是是频道主就是下毒的人

[apkpure]

@qwqdanchun
@jsgydcy

是高仿的，已经停更的原频道是 https://t.me/zh_CN

这个高仿的浏览量也有 112k ，中招的太多了

我还在某电报搜索群发现了更多高仿的，应该都是病毒

https://t.me/zh_CN_chinas

https://t.me/zh_CN118

https://t.me/zh_cnj

https://t.me/zh_cn_telegramr

https://t.me/asd456daZH_CN

https://t.me/zh_cn726

https://t.me/zAhonwfZH_CN

[pcbl]

微信表示这种小儿科手段老子一个手指头就能都干趴下了

[hazy]

看了眼正版的 61w 订阅，高仿的 78w 订阅

[CipherSysu]

@apkpure 这些频道的订阅者应该都是买来的僵尸粉，Telegram 上有成规模的买粉交易

[apkpure]

@CipherSysu 僵尸粉也能刷浏览量吗？我以为只能刷订阅数

[CipherSysu]

还有一个高仿的频道 https://t.me/zh_zh_cn 有 122 万粉，真的夸张

[CipherSysu]

@apkpure 可以的，中文圈 Telegram 频道不怎么盈利玩这一套的人少，波斯文、俄文圈的频道把这个玩出花来，杜罗夫叔叔也不管管

[laydown]

这简直是抓住了痛点，需要汉化的人还真的可能是下毒目标啊……

[apkpure]

@CipherSysu Telegram 确实是网络犯罪的天堂

[RobertLyu]

欢迎使用本人翻译的版本“简体字”。

https://t.me/setlanguage/jiantizi

复制链接到 Telegram 中并使用 Telegram 打开，自动汉化。不需要下载任何可执行文件或者安装包。完全官方渠道，自动同步更新新词条。

自 2020 年 4 月起持续维护并更新。欢迎使用。

[blueboyggh]

@RobertLyu 已使用，感谢，有群组吗？

[x86]

想起社工库之前发的公告，一些修改版的 tg 会把它转账地址替换，本地显示无异常。防不胜防

[xing7673]

我看到有汉化库的打广告就觉得这玩意不靠谱。
所以一直没用，ios 之前有用过应该不会中招吧。

[tyzrj766]

高仿频道的数据应该是刷的，TG 上有人做这些业务，否则短期一个月内不可能有这么多人在关注这些频道