[06.05] Millenium RAT 1X

神龟Turmi

注：本人发布的所有样本，均已经上传MalwareBazaar（如发现时没有）
部分安全软件（例如F-Secure）会自动拉黑MalwareBazaar上的所有Hash，故可能产生结果差异，不一定代表真实在野水平
如不知道样本解压密码，请自行查看样本区置顶帖，请勿回帖询问，我不会回复

下载：
https://k00.fr/d7p2zbw6 | password: turtle
https://share.weiyun.com/1r98cbpQ

SentinelOne：


扫描MISS 双击机学KILL衍生物hacn.exe和based.exe后主防回滚本体（Forbidden Spawn Execution detected）

C&C：
Telegram API

沙箱：
https://www.hybrid-analysis.com/ ... 5871ba3bd2b827c2402

莒县小哥

真小读者

瑞星

GreatMOLA

Airva

zfc234

Malwarebytes

Anmoe

ESET kill

卡巴 kill

BD kill 衍生物

wuming_bpnes

Sophos解压杀

UNknownOoo

火绒
扫描：未检出
运行：特征捉衍生物 + 主防拦截

1. 病毒名称：TrojanSpy/Python.Stealer.d
   
2. 病毒ID：D06410F9A3897EB1
   
3. 病毒路径：C:\ProgramData\Microsoft\based.exe
   
4. 操作类型：修改
   
5. 操作结果：已处理，删除文件
   
6. 
   
7. 进程ID：5460
   
8. 操作进程：C:\Users\Administrator\AppData\Local\Temp\_MEI41322\Build.exe
   
9. 操作进程命令行：C:\Users\ADMINI~1\AppData\Local\Temp\_MEI41322\Build.exe  -pbeznogym
   
10. 父进程ID：3840
    
11. 父进程：C:\Windows\System32\cmd.exe

复制代码

1. 病毒名称：Trojan/CoinMiner.jf
   
2. 病毒ID：C16561F3DDF93935
   
3. 病毒路径：C:\ProgramData\setup.exe
   
4. 操作类型：修改
   
5. 操作结果：已处理，删除文件
   
6. 
   
7. 进程ID：528
   
8. 操作进程：C:\Users\Administrator\AppData\Local\Temp\_MEI3282\s.exe
   
9. 操作进程命令行：C:\Users\ADMINI~1\AppData\Local\Temp\_MEI3282\s.exe  -pbeznogym

复制代码

1. 病毒名称：ADV:TrojanDropper/HidLoader.C
   
2. 病毒路径：C:\Users\Administrator\AppData\Local\Temp\_MEI3282\s.exe
   
3. 操作结果：已处理
   
4. 
   
5. 进程ID：528
   
6. 操作进程命令行：C:\Users\ADMINI~1\AppData\Local\Temp\_MEI3282\s.exe  -pbeznogym
   
7. 父进程ID：9284
   
8. 父进程：C:\Windows\System32\cmd.exe
   
9. 父进程命令行：C:\Windows\system32\cmd.exe /c start C:\Users\ADMINI~1\AppData\Local\Temp\_MEI3282\s.exe -pbeznogym

复制代码

神龟Turmi

UNknownOoo 发表于 2024-6-5 11:09
火绒
扫描：未检出
运行：特征捉衍生物 + 主防拦截

这个based.exe好像是个BlankGrabber Stealer
我第一次分析的时候跑的太快了 可能还没执行完 才刚加载Millenium RAT就被我结束掉了
我看MalwareBazaar上其他沙箱跑出了Millenium RAT+BlankGrabber Stealer

LeeHS

cs 解壓殺