#Signed #Lumma

显示全部楼层 · 发表于 2024-7-15 19:04:26

dght432 发表于 2024-7-15 19:03
？？？？

签名受信任，不是文件本身受信任

显示全部楼层 · 发表于 2024-7-16 00:07:57

本帖最后由 aboringman 于 2024-7-16 10:20 编辑

360：

阻止一次注入

但是可以继续安装

来自作者的问候（

more.com被调起，但是看了一下没有可疑的外联，应该是拦住了

火绒：内存防护

病毒名称：TrojanSpy/LummaStealer.d
病毒ID：7EF6791851157830
虚拟地址：0x0000000003010000
映像大小：388KB
是否完整映像：是
数据流哈希：56d48051
操作结果：已处理
进程ID：8784
操作进程：C:\Windows\SysWOW64\explorer.exe
操作进程命令行：C:\Windows\SysWOW64\explorer.exe
父进程ID：8140
父进程：C:\Windows\SysWOW64\more.com
父进程命令行：C:\Windows\SysWOW64\more.com

一张破图，没办法，手上只有一台破机器，末尾是explorer.exe

显示全部楼层 · 发表于 2024-7-16 00:16:59

aboringman 发表于 2024-7-16 00:07
360：

阻止一次注入

360的注入没有显示模块，还漏了注入Explorer的逻辑。
除了注入外，还使用重复加载ntdll来绕过用户层HOOK检测。

显示全部楼层 · 发表于 2024-7-16 00:18:41

安全测评发表于 2024-7-16 00:16
360的注入没有显示模块，还漏了注入Explorer的逻辑。
除了注入外，还使用重复加载ntdll来绕过用户层HOOK ...

重载对360无效，不拦也正常，360用的是VT HOOK

显示全部楼层 · 发表于 2024-7-16 13:56:19

ESET AMS杀衍生物

显示全部楼层 · 发表于 2024-7-16 19:48:44

hsks 发表于 2024-7-15 19:04
签名受信任，不是文件本身受信任

专家分析安全

显示全部楼层 · 发表于 2024-7-16 19:49:17

dght432 发表于 2024-7-15 19:03
？？？？

不是恶意软件

显示全部楼层 · 发表于 2024-7-16 19:49:57

孤勇者发表于 2024-7-16 19:48
专家分析安全

不用了，卡巴dump的文件拉黑了（
https://www.virustotal.com/gui/f ... b64d2673fecd08f31cc

显示全部楼层 · 发表于 2024-7-16 19:52:02

hsks 发表于 2024-7-16 19:49
不用了，卡巴dump的文件拉黑了（
https://www.virustotal.com/gui/file/8fca4f97c27e5b35aba8647acb6ebc59 ...

编辑

显示全部楼层 · 发表于 2024-7-16 19:52:41

孤勇者发表于 2024-7-16 19:48
专家分析安全

你关闭这个问题再提交一次样本试试

[病毒样本] #Signed #Lumma

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块