这是一个创建于 1269 天前的主题，其中的信息可能已经有所发展或是发生改变。
今天无意间看到了一个 TG 的汉化频道，入眼就是一个 com 后缀的可执行文件，正好有时间就下载下来分析了一下
具体分析步骤就不赘述了，该文件为一个下载器，会释放 7zip 及压缩包至 C:\Users\Public\Downloads 目录，并在该位置通过快捷方式执行解压至文件夹 Tencente ，结果如图：
解压后得到一套经典的白加黑文件，利用的是 2003 年的一个 Outlook 的程序
除此之外，该样本使用了检测鼠标移动等方式绕过沙箱分析，通过近期国内黑产常用的断网方法绕过 360 等杀软对启动项的拦截
该频道有近 80 万关注者，且内容及其具有迷惑性，距离文件发出已经过去了一个半月，想来中招的人不在少数，希望大家注意不要轻易下载未知软件，保证自身安全
 | 1 ARerichvonlx 2022-04-21 23:42:06 +08:00 via Android 防不胜防啊，这个汉化频道好像 2 年前停止维护了 |
 | 2 fantasylidong 2022-04-21 23:43:43 +08:00 via Android 不知道是不是被卖了个好价格或者被坑了 |
 | 3 MaiKuraki 2022-04-21 23:52:58 +08:00 via Android 这个频道的链接是？ |
 | 4 qwqdanchun OP |
 | 5 jsgydcy 2022-04-22 00:05:02 +08:00 via iPhone 卧槽，怎么排查用的哪个 |
 | 6 pcbl 2022-04-22 00:07:49 +08:00 via Android  1 大概率是是频道主就是下毒的人 |
 | 7 apkpure 2022-04-22 00:08:13 +08:00 7 @qwqdanchun @jsgydcy 是高仿的，已经停更的原频道是 https://t.me/zh_CN 这个高仿的浏览量也有 112k ，中招的太多了 我还在某电报搜索群发现了更多高仿的，应该都是病毒 https://t.me/zh_CN_chinas https://t.me/zh_CN118 https://t.me/zh_cnj https://t.me/zh_cn_telegramr https://t.me/asd456daZH_CN https://t.me/zh_cn726 https://t.me/zAhonwfZH_CN |
| 8 pcbl 2022-04-22 00:12:10 +08:00 via Android 微信表示这种小儿科手段老子一个手指头就能都干趴下了 |
 | 9 dog 2022-04-22 00:25:31 +08:00 看了眼正版的 61w 订阅，高仿的 78w 订阅 |
 | 10 CipherSysu 2022-04-22 00:25:39 +08:00 @apkpure 这些频道的订阅者应该都是买来的僵尸粉，Telegram 上有成规模的买粉交易 |
| 11 apkpure 2022-04-22 00:30:43 +08:00 @CipherSysu 僵尸粉也能刷浏览量吗？我以为只能刷订阅数 |
| 12 CipherSysu 2022-04-22 00:32:58 +08:00 3 还有一个高仿的频道 http://t.me/zh_zh_cn 有 122 万粉，真的夸张 |
| 13 CipherSysu 2022-04-22 00:35:24 +08:00 @apkpure 可以的，中文圈 Telegram 频道不怎么盈利玩这一套的人少，波斯文、俄文圈的频道把这个玩出花来，杜罗夫叔叔也不管管 |
 | 14 laydown 2022-04-22 00:44:09 +08:00 5 这简直是抓住了痛点，需要汉化的人还真的可能是下毒目标啊…… |
| 15 apkpure 2022-04-22 00:51:15 +08:00 1 @CipherSysu Telegram 确实是网络犯罪的天堂 |
 | 16 RobertLyu 2022-04-22 01:05:04 +08:00 via iPhone 19 欢迎使用本人翻译的版本“简体字”。 https://t.me/setlanguage/jiantizi 复制链接到 Telegram 中并使用 Telegram 打开，自动汉化。不需要下载任何可执行文件或者安装包。完全官方渠道，自动同步更新新词条。 自 2020 年 4 月起持续维护并更新。欢迎使用。 |
 | 17 blueboyggh 2022-04-22 01:24:54 +08:00 via Android @RobertLyu 已使用，感谢，有群组吗？ |
 | 18 x86 2022-04-22 01:54:38 +08:00 via iPhone 1 想起社工库之前发的公告，一些修改版的 tg 会把它转账地址替换，本地显示无异常。防不胜防 |
 | 19 xing7673 2022-04-2208:19:53 +08:00 via iPhone 1 我看到有汉化库的打广告就觉得这玩意不靠谱。 所以一直没用，ios 之前有用过应该不会中招吧。 |
 | 20 tyzrj766 2022-04-22 09:04:19 +08:00 高仿频道的数据应该是刷的，TG 上有人做这些业务，否则短期一个月内不可能有这么多人在关注这些频道 |
 | 21 ghjexxka 2022-04-22 09:07:59 +08:00 高仿而已，本质上还是抓住了很多人总是期望别人对自己负责的心理 |
 | 22 HeyWeGo 2022-04-22 09:28:09 +08:00 什么意思？汉化库是指汉化哪方面内容？ |
 | 24 Woodrow 2022-04-22 09:34:04 +08:00 1 另，比较喜欢的语言包，https://t.me/setlanguage/moecn |
 | 26 ST0RMTR00PER 2022-04-22 09:37:30 +08:00 通通举报了，不知道有没有用。 |
 | 27 Cloud9527 2022-04-22 09:39:10 +08:00 电报不用汉化也能用把 |
 | 28 HFX3389 2022-04-22 09:56:43 +08:00 虽然这是 Windows 的，Android 和 iOS 看着瑟瑟发抖 |
 | 29 Zy143L 2022-04-22 09:56:59 +08:00 via Android 所以说 用 plus 多好的 电脑版本的 tg 有中文来着 |
 | 30 leafre 2022-04-22 10:00:33 +08:00 想知道具体分析步骤 |
 | 31 gam2046 2022-04-22 10:22:18 +08:00 1 所以说，就 UI 上那几个简单的英文哪怕不认识，百度翻译啥的，查个两三次也知道是什么意思了。用这些来源不明的，意义真心不大。 |
 | 32 miaomiao888 2022-04-22 10:52:11 +08:00 这频道今年 2 月才创建就有 80 万订阅，难道一个多月就能拉拢这么多人？搞黄也没这么强的吧！ |
 | 33 sunday229 2022-04-22 10:52:27 +08:00 还好我的 downloads 里面是空的 |
 | 34 james504 2022-04-22 14:22:09 +08:00 2 你这个群组是高仿的，正牌的最后一条信息停留在 2020.4.12 且订阅量在 618K. 另外像我的英语水平最多小学水平，不用翻译这里面应该也没有不认识的东西吧所以翻译不翻译可以都不用。 |
 | 35 wtdd 2022-04-22 15:10:18 +08:00 用 tg 都要汉化的，中招也不稀奇了 |
 | 36 abcd191898105 2022-04-22 18:08:45 +08:00 via iPhone 我草。好吓人。还好我一直是用的正版的 68 万订阅的那个。吓死宝宝了 |
 | 37 icebearloveu 2022-04-22 19:30:22 +08:00 via iPhone 看见频道名字感觉有点奇怪，怎么这么长，原来是高仿 |
 | 38 rat007 2022-04-22 20:59:12 +08:00 需要汉化的，多是一些在菲律宾，柬埔寨，迪拜，马来西亚的中国人，在这些国家的中国人，工作性质不用多言。我在超级索引大概搜了一下中文，中文包等关键词，排名前十的有七个是该团伙投毒的频道。传播之广泛可想而知。从他们的目标群体，也不难推算他们背后的买卖，有多暴利。 我已反馈超级索引客服，已屏蔽他们的搜索排名，但是频道依旧存在，受害群体也在不断扩大。 |
 | 39 codehz 2022-04-22 23:26:52 +08:00 关注者基本都是假的，并不是真的有那么多人受骗） |
 | 40 jiuhuicinv 2022-04-22 23:58:31 +08:00 高仿比正版人数还多 这就很离谱 |
 | 41 nonwill 2022-04-23 00:41:12 +08:00 1 说个笑话（大实话）： 去年某日始，GoldenDict++OCR 文档访问统计量突发激增(倍增) -- 多在全球地图上个别比较确定的地区，猜应是某词典分享论坛的活跃用户（大量仓鼠马甲）所为，遂于应用启动首页加国家反诈中心宣传图样一张，嘎然间访问量骤减有半，弓惊鸟散，效果斐然，如神针定海... 哈哈，至今有几个仓鼠傻缺还是念念不忘这茬儿... 诈骗从业者渗透在各行各业，防不胜防，上网安全不是小事儿... |
 | 42 MoRanjiang 2022-04-23 00:47:46 +08:00 via Android 八十万很有可能是刷的 |
 | 43 Marionic0723 2022-04-23 08:19:42 +08:00 via Android 这个东西会干什么，上传用户资料吗，期待大佬们分析一波 |
 | 44 Spark100 2022-04-23 16:29:48 +08:00 没关注这个频道 |
 | 45 iPhone11 2022-04-23 17:10:43 +08:00 @Marionic0723 这个会当肉鸡 我月初已经中毒了 |
| 46 iPhone11 2022-04-23 17:12:36 +08:00 ``` 进程行为 行为描述： 创建本地线程 详情信息： TargetProcess: %temp%\****.exe, InheritedFromPID = 2000, ProcessID = 2452, ThreadID = 2468, StartAddress = 77DC845A, Parameter = 00000000 TargetProcess: %temp%\****.exe, InheritedFromPID = 2000, ProcessID = 2452, ThreadID = 2600, StartAddress = 77C0A341, Parameter = 003F72A0 TargetProcess: %temp%\****.exe, InheritedFromPID = 2000, ProcessID = 2452, ThreadID = 2604, StartAddress = 77C0A341, Parameter = 003F72A0 TargetProcess: %temp%\****.exe, InheritedFromPID = 2000, ProcessID = 2452, ThreadID = 2624, StartAddress = 77C0A341, Parameter = 003F7330 TargetProcess: %temp%\****.exe, InheritedFromPID = 2000, ProcessID = 2452, ThreadID = 2848, StartAddress = 77C0A341, Parameter = 003F73C0 行为描述： 枚举进程 详情信息： N/A 文件行为 行为描述： 重命名文件 详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\****.exe ---> C:\Program Files\Common Files\3B0BDBEB.exe 网络行为 行为描述： 打开指定 IE 网页 详情信息： tg://setlanguage?lang=classic-zh-cn 行为描述： 建立到一个指定的套接字连接 详情信息： URL: da****om, IP: **.216.117.**:8000, SOCKET = 0x00000114 行为描述： 按名称获取主机地址 详情信息： gethostbyname: da****om 注册表行为 行为描述： 修改注册表 详情信息： \REGISTRY\MACHINE\SYSTEM\ControlSet002\Software\Wxyabc Efghijkl Nop\MarkTime \REGISTRY\USER\S-*\Software\Microsoft\ActiveMovie\devenum\Version 复制代码 Address 185.216.117.5 Hostname noc.ayidc.com ISP Cloudie Limited IP Organization Cloudie Limited ASN AS55933 ASN Organization Cloudie Limited Location 香港 ``` |
| 47 Marionic0723 2022-04-23 20:42:31 +08:00 @iPhone11 是国宝钓鱼查 IP 吗 |
 | 48 renzhezhu 2022-04-24 00:24:47 +08:00 兄弟们，我中招了，现在应该咋整，杀毒杀不出东西，文件已经删除了 |
 | 49 Sun658 2022-04-24 09:57:42 +08:00 via Android 有没有大哥 中招了怎么搞 |
 | 51 tyAngelCc 2022-05-02 10:34:06 +08:00 via iPhone |
 | 52 zsylife 2022-05-05 00:35:32 +08:00 zh_CN_Telegram_zh_CN_CN_zh_ch_zn 看这个我笑了 这是什么鬼 |
 | 53 mayli 2023-02-16 17:39:16 +08:00 Windows 10 默认的防火墙可以检测到，当然一堆用奇葩关闭 defender 的可能就中招了 |
Select Language