Lumma 1x

显示全部楼层 · 发表于 2024-7-16 21:26:13

wywt123 发表于 2024-7-16 21:19
他这个c2我本地访问不到hxxps://closedjuruwk.shop/api套了一层cloudflare，直接提示我被block

可能是他的服务器也炸了吧

显示全部楼层 · 发表于 2024-7-16 22:03:36

本帖最后由 wywt123 于 2024-7-16 22:07 编辑

Komeiji-Reimu 发表于 2024-7-16 21:26
可能是他的服务器也炸了吧

试了下没挂，他这个应该在cf里配置了规则，我这边get请求都提示blocked，但post请求是通的
而且vt的行为分析写着
long-sleeps

显示全部楼层 · 发表于 2024-7-16 22:28:01

飞塔扫描Miss

显示全部楼层 · 发表于 2024-7-16 23:47:44

wywt123 发表于 2024-7-16 22:03
试了下没挂，他这个应该在cf里配置了规则，我这边get请求都提示blocked，但post请求是通的
而且vt的行为 ...

抓包post点假的上去

显示全部楼层 · 发表于 2024-7-16 23:55:08

Komeiji-Reimu 发表于 2024-7-16 20:46
卡巴扫描miss
看了，没发现steal什么，莫非是有虚拟机检测？

我上传anyrun看下

显示全部楼层 · 发表于 2024-7-16 23:55:58

wywt123 发表于 2024-7-16 22:03
试了下没挂，他这个应该在cf里配置了规则，我这边get请求都提示blocked，但post请求是通的
而且vt的行为 ...

那anyrun应该跑不了，可以知道sleep多久吗

显示全部楼层 · 发表于 2024-7-17 00:41:47

本帖最后由 wywt123 于 2024-7-17 00:44 编辑

QVM360 发表于 2024-7-16 23:55
那anyrun应该跑不了，可以知道sleep多久吗

https://tria.ge/240716-t3kq9s1dnn/behavioral1
triage跑了下，好像上来自己就挂掉了，感觉这个样本自身有点问题

下次遇到正常的再贴上来吧

显示全部楼层 · 发表于 2024-7-18 11:04:34

显示全部楼层 · 发表于 2024-7-25 11:08:53

瑞星 1x

[病毒样本] Lumma 1x