21X

hsks

其中的PartyWorld.exe比较有意思，单独拎出来讲一下
该样本属于web3 malware，跟之前我在卡饭发的的dexis，和昨天样本包的Wasper都是web3 malware，通过制作逼真的钓鱼网站，运营X账号，窃取X账号（比如dexis背后的组织就是黑入了SAT20 Labs的账号来推广它们的“软件”），买推广，买粉，控评，仿冒官方人员DM受害者等方式，为钓鱼网站引流

对于这个样本，攻击者首先制作了一个非常逼真的游戏网站（hxxps://partyworld.io/home），注册了X账号和一些其他平台的账号（hxxps://x.com/OGIXPartyWorld）（注：真的官方是hxxps://x.com/PartyIconsOGX，这个算是抄袭了），从今年4月中旬开始着手钓鱼（所以这个样本应该也更了好几遍）
同时还有一些所谓dev的账号（大概率是账号被黑/注册的scam账号），推广和在评论区控评，举个例子

样本自身带有数字签名和低报毒率（昨天VT报毒为0，后来我传到triage上后才有杀软开始报毒）



接下来是老套路，安装后给受害者显示一个逼真的游戏准备界面，然而界面会卡死，那在“准备”过程中，样本做了一些小动作（https://tria.ge/240728-jh7eeswamq/behavioral2）
出问题的组件是Updateload.exe，相关行为（https://tria.ge/240728-trj1lawbne/behavioral2）





https://wormhole.app/QQ66K#MUUwRqiT8YxPbjrOH74JEA
https://www.123pan.com/s/FJUmjv-jh6N.html
https://pan.huang1111.cn/s/byyAMFY
https://pan.xiaomuxi.cn/s/ao8tR

RainCloud9

这文件有点大啊。。。
卡巴：
事件: 检测到恶意对象
用户: DESKTOP-LHNQHVT\Lenovo
用户类型: 活动用户
组件: 病毒扫描
结果: 检测到
结果说明: 检测到
类型: 木马
名称: HEUR:Trojan-Downloader.MSIL.Agent.gen
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: fInsta.exe
对象路径: D:\Users\Lenovo\Downloads\X21X
对象的 MD5: D22B98EF954DAD4CE515081E05172326
原因: 机器学习
数据库发布日期: 今天，7/29/2024 9:04:00 AM


事件: 检测到恶意对象
用户: DESKTOP-LHNQHVT\Lenovo
用户类型: 活动用户
组件: 病毒扫描
结果: 检测到
结果说明: 检测到
类型: 木马
名称: HEUR:Backdoor.Win32.Agent.gen
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: Google Chrome-Setup.exe
对象路径: D:\Users\Lenovo\Downloads\X21X
对象的 MD5: 2819E53E0F72AA60E20F669FE27C738F
原因: 机器学习
数据库发布日期: 今天，7/29/2024 9:04:00 AM


事件: 检测到恶意对象
用户: DESKTOP-LHNQHVT\Lenovo
用户类型: 活动用户
组件: 病毒扫描
结果: 检测到
结果说明: 检测到
类型: 木马
名称: VHO:Trojan.Win64.Agent.gen
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: @m9.exe
对象路径: D:\Users\Lenovo\Downloads\X21X
对象的 MD5: 6FBEE1BE4D240168A731442163AB2A78
原因: 云保护


事件: 检测到恶意对象
用户: DESKTOP-LHNQHVT\Lenovo
用户类型: 活动用户
组件: 病毒扫描
结果: 检测到
结果说明: 检测到
类型: 木马
名称: Trojan.Win32.Agent.xbsaax
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: P.exe
对象路径: D:\Users\Lenovo\Downloads\X21X\Potato-Desktop_WINSSS32-x64_5.0.08.exe//plugin
对象的 MD5: 7310A458C8F1251D2518A41A81A74BC7
原因: 数据库
数据库发布日期: 今天，7/29/2024 9:04:00 AM


事件: 检测到恶意对象
用户: DESKTOP-LHNQHVT\Lenovo
用户类型: 活动用户
组件: 病毒扫描
结果: 检测到
结果说明: 检测到
类型: 木马
名称: VHO:Trojan-Downloader.Win32.Agent.gen
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: wps.exe
对象路径: D:\Users\Lenovo\Downloads\X21X
对象的 MD5: 53BD6015B8006F9B1B839DD4871831EB
原因: 云保护


事件: 检测到恶意对象
用户: DESKTOP-LHNQHVT\Lenovo
用户类型: 活动用户
组件: 病毒扫描
结果: 检测到
结果说明: 检测到
类型: 木马
名称: HEUR:Trojan-Downloader.MSIL.Agent.gen
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: whiteInsta.exe
对象路径: D:\Users\Lenovo\Downloads\X21X
对象的 MD5: 1732A171CB9B2C728F968781EE9F98BB
原因: 机器学习
数据库发布日期: 今天，7/29/2024 9:04:00 AM

最终剩余15，杀6

附：更新2:54毒库二扫没有新发现，其余样本上报中。

再补：4:38，卡巴uds再杀7，计13剩8

再再补：8:32三扫杀13剩8

wwwab

Triage 上写的是 Rhadamanthys Stealer?

hsks

wwwab 发表于 2024-7-29 15:34
Triage 上写的是 Rhadamanthys Stealer?

是的，web3 malware非常喜欢用lumma，Rhadamanthys之类的stealer偷你钱包（

1073328164

迈克菲扫描 kill 3x

biue

腾讯电脑管家 4X

孤勇者

hsks 发表于 2024-7-29 15:35
是的，web3 malware非常喜欢用lumma，Rhadamanthys之类的stealer偷你钱包（

卡巴斯基扫描kill6x

ANY.LNK

微软扫描3x（大失败）

莒县小哥

ANY.LNK 发表于 2024-7-29 15:54
微软扫描3x（大失败）

太不稳定了

RainCloud9

ANY.LNK 发表于 2024-7-29 15:54
微软扫描3x（大失败）

这次样本包好像质量很高