龟包 231218 11X

神龟Turmi

S1脸都不要了！Panda输完输火绒，再输Drweb，接下来没人输了！

下载：https://share.weiyun.com/gWpjNmik
海外分流：https://k00.fr/guibao1218 | password: turtle

SentinelOne：
备注：23.3 EA2 测试版

扫描6X 双击主防1X 合计7/11 （MISS 02 03 06 10）

WatchGuard（Panda企业版）：

扫描4X 双击AE4X 合计8/11 （MISS 03 06 07）

hhhq316

蜘蛛


EMSI

z614606517

小红伞剩余加双击

t0kenzero

DI 9X

ps脚本默认禁止 没法测（



SEP 8X



Cylance 10X



CP 10X

kuroandsan

f-secure miss 03,06

GDHJDSYDH

EIS解压击杀剩余一个ps1文件，Lumma文件夹里的Setup.exe被击杀，KFA扫描剩余的miss；沙箱内双击ps1后，EIS阻止

神龟Turmi

GDHJDSYDH 发表于 2023-12-18 09:10
EIS解压击杀剩余一个ps1文件，Lumma文件夹里的Setup.exe被击杀，KFA扫描剩余的miss；沙箱内双击ps1后，EIS ...

有一说一 ESET在这一步拦了下载 应该算是误报。。。
这个样本是把dll改成图片和pdf后缀上传的合法图床等的域名
截图里拦截的是完美世界PVP对战平台的域名。。。

GDHJDSYDH

神龟Turmi 发表于 2023-12-18 09:18
有一说一 ESET在这一步拦了下载 应该算是误报。。。
这个样本是把dll改成图片和pdf后缀上传的合法图床等 ...

所以说这个样本的主要行为是窃取steam账号吗？ESET是否成功防御？从沙箱通知来看其与WMI服务相关的行为失败了（尝试持久化？），还有卡巴全程非常安静，PDM毫无动静

神龟Turmi

GDHJDSYDH 发表于 2023-12-18 09:24
所以说这个样本的主要行为是窃取steam账号吗？ESET是否成功防御？从沙箱通知来看其与WMI服务相关的 ...

这个家族主要是注入dll和修改steam的vdf实现假入库
概率附带盗号
（我不可能真的找个Steam账号看它盗没盗 所以我没法确定今天的这两个有没有盗号行为）
假如没有盗号行为的话 应该算Hacktool 假如有的话 应该算Stealer

GDHJDSYDH

神龟Turmi 发表于 2023-12-18 09:26
这个家族主要是注入dll和修改steam的vdf实现假入库
概率附带盗号
（我不可能真的找个Steam账号看它盗没 ...

微步+VT无检出
https://www.virustotal.com/gui/f ... ba32a941e/detection
https://s.threatbook.com/report/ ... 6fd764ee37ba32a941e