#Electron #Stealer

swizzer

Mirror 1
Mirror 2

相关链接:

1. https://t.me/sordeal

复制代码

依然是JS编写的基于Electron的Stealer。主要在游戏社区通过伪装成独立游戏/游戏工具进行传播。(不过类似手段的，最出名的还是Downfall被植入恶意软件那次?)

如果有心，应该会想到去年7-9月份样本区那一批被打了#Electrum tag的Stealer，同样是JS编写+混淆，基于Electron；同样的极低静态检出率。

文件名里的tag之所以是#Nova，因为hacker现在叫NovaSentinel（

@anthonyqian

@Eset小粉絲

UNknownOoo

火绒
扫描：特征 1X

1. 扫描文件：6
   
2. 发现风险：1
   
3. 已处理风险：0
   
4. 病毒详情：
   
5. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\Stealer\#Nova-Nezur.exe >> $PLUGINSDIR\app-64.7z >> System.exe, 病毒名：HEUR:Trojan/W64.FakeMsimg.c, 病毒ID：fbc5947eae68c965, 处理结果：暂不处理

复制代码

X-Sec
扫描：特征 ALL

1. ---------------------
   
2. 2024/01/15 11:24:10 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\Stealer\#Nova-Moyetu_GAME.exe -- [rame-classic] Stealer.NovaSentinel/JS!1.F2BA
   
3. 2024/01/15 11:24:13 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\Stealer\#Nova-AORadar.exe -- [rame-classic] Trojan.Obfus/JS!1.F219
   
4. 2024/01/15 11:24:13 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\Stealer\#Nova-mythic guardian.exe -- [rame-classic] Stealer.NovaSentinel/JS!1.F2BA
   
5. 2024/01/15 11:24:20 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\Stealer\#Nova-Nezur.exe -- [rame-classic] Trojan.Obfus/JS!1.F219
   
6. 2024/01/15 11:24:20 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\Stealer\#Nova-Server Clone.exe -- [rame-classic] Trojan.Obfus/JS!1.F219
   
7. 2024/01/15 11:24:25 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\Stealer\#Nova-windows.exe -- [rame-classic] Trojan.Obfus/JS!1.F219

复制代码

华为乾坤扫描：MISS ALL

GDHJDSYDH

EIS扫描miss all，KFA扫描miss all；沙箱内双击PDM击杀2x，剩下的miss，样本不断地创建cmd进程

PYAS_Security

检出率确实低

Allure361

江民监控kill 1



剩余

swizzer

GDHJDSYDH 发表于 2024-1-15 11:22
EIS扫描miss all，KFA扫描miss all；沙箱内双击PDM击杀2x，剩下的miss，样本不断地创建cmd进程

实体机吗？注意保护好浏览器保存的信息。

DisaPDB

360 扫描+双击1x

浏览器被干了

GDHJDSYDH

swizzer 发表于 2024-1-15 11:41
实体机吗？注意保护好浏览器保存的信息。

我用的Edge浏览器应该是把个人信息储存在User Data文件夹里，而我这个专门用于测试的沙箱设置了阻止入沙程序对这个目录文件夹的访问

hansyu

GDHJDSYDH 发表于 2024-1-15 11:22
EIS扫描miss all，KFA扫描miss all；沙箱内双击PDM击杀2x，剩下的miss，样本不断地创建cmd进程

前几天在虚拟机沙盒里测这种类型的样本，cmd多到直接把沙盒干崩了，连系统都失去响应。

GDHJDSYDH

hansyu 发表于 2024-1-15 12:13
前几天在虚拟机沙盒里测这种类型的样本，cmd多到直接把沙盒干崩了，连系统都失去响应。

反正cmd到一定数量的时候我就会手动直接一键终止它们