Telegram 某汉化频道被投毒

TargetProcess: %temp%\****.exe, InheritedFromPID = 2000, ProcessID = 2452, ThreadID = 2600, StartAddress = 77C0A341, Parameter = 003F72A0

TargetProcess: %temp%\****.exe, InheritedFromPID = 2000, ProcessID = 2452, ThreadID = 2604, StartAddress = 77C0A341, Parameter = 003F72A0

TargetProcess: %temp%\****.exe, InheritedFromPID = 2000, ProcessID = 2452, ThreadID = 2624, StartAddress = 77C0A341, Parameter = 003F7330

TargetProcess: %temp%\****.exe, InheritedFromPID = 2000, ProcessID = 2452, ThreadID = 2848, StartAddress = 77C0A341, Parameter = 003F73C0

行为描述： 枚举进程详情信息： N/A

文件行为行为描述： 重命名文件详情信息： C:\Documents and Settings\Administrator\Local Settings\%temp%\****.exe ---> C:\Program Files\Common Files\3B0BDBEB.exe

网络行为行为描述： 打开指定 IE 网页详情信息： tg://setlanguage?lang=classic-zh-cn

行为描述： 建立到一个指定的套接字连接详情信息： URL: da****om, IP: **.216.117.**:8000, SOCKET = 0x00000114

行为描述： 按名称获取主机地址详情信息： gethostbyname: da****om

注册表行为行为描述： 修改注册表详情信息： \REGISTRY\MACHINE\SYSTEM\ControlSet002\Software\Wxyabc Efghijkl Nop\MarkTime

\REGISTRY\USER\S-*\Software\Microsoft\ActiveMovie\devenum\Version复制代码

Address 185.216.117.5Hostname noc.ayidc.comISP Cloudie LimitedIP Organization Cloudie LimitedASN AS55933ASN Organization Cloudie LimitedLocation 香港```