#LummaStealer 5x

UNknownOoo

https://wwjw.lanzouq.com/iVcaU2gsvgyd

DisaPDB

360 扫描miss all.
双击 mal2

1. 时间        操作        说明        次数
   
2. 2024-12-01 11:42:29        [已阻止]          远程线程注入        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Users\Disa_Tale\Desktop\Downloads\mal2\Setup.exe
   
5. 动作：远程线程注入
   
6. 路径：C:\Windows\SysWOW64\more.com
   
7. 风险文件：C:\Users\Disa_Tale\Desktop\Downloads\mal2\d3dx9_43.dll
   
8. 拦截补充描述：程序正在进行远程线程注入，将代码藏匿到其他进程来运行，木马通常以此来隐藏自己的恶意行为。如果您不认识此程序，请阻止。
   
9. 
   
10. 防护信息: AD|2, 88|40, 40, -1||
    

复制代码

mal5

1. 时间        操作        说明        次数
   
2. 2024-12-01 11:43:51        [自动阻止]          进程创建        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Windows\explorer.exe
   
5. 动作：进程创建
   
6. 路径：C:\Users\Disa_Tale\Desktop\Downloads\mal5\Setup.exe
   
7. 拦截补充描述：有木马试图攻击您的电脑，360已成功拦截。
   
8. 
   
9. 防护信息: AD|1, 4|10, -1, 70||
   

复制代码

剩余：可能的环境检测
mal3

1. 时间        操作        说明        次数
   
2. 2024-12-01 11:49:14        [已阻止]          远程线程注入        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Users\mac\Desktop\mal3\Setup.exe
   
5. 动作：远程线程注入
   
6. 路径：C:\Windows\SysWOW64\more.com
   
7. 风险文件：C:\Users\mac\Desktop\mal3\WebView2Loader.dll
   
8. 拦截补充描述：程序正在进行远程线程注入，将代码藏匿到其他进程来运行，木马通常以此来隐藏自己的恶意行为。如果您不认识此程序，请阻止。
   
9. 
   
10. 防护信息: AD|2, 88|40, 40, -1||
    

复制代码

mal4

1. 时间        操作        说明        次数
   
2. 2024-12-01 11:50:49        [已阻止]          远程线程注入        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Users\mac\Desktop\mal4\Setup.exe
   
5. 动作：远程线程注入
   
6. 路径：C:\Windows\SysWOW64\more.com
   
7. 风险文件：C:\Users\mac\Desktop\mal4\WebView2Loader.dll
   
8. 拦截补充描述：程序正在进行远程线程注入，将代码藏匿到其他进程来运行，木马通常以此来隐藏自己的恶意行为。如果您不认识此程序，请阻止。
   
9. 
   
10. 防护信息: AD|2, 88|30, 30, -1||
    

复制代码

mal1在我这里连不上C2，但是shellcode和ETW/AMSI Patch的操作已经出来了，判定为miss.
合计4/5.

mal1 内存dump（无加密）：Deskop.rar

123456aaaafsdeg

江民：0

Fadouse

S1 + DI Kill All

DI 解压 Kill 2x(mal1, mal3)


双击 mal2 -> S1 Kill


双击 mal4 -> S1 Kill


双击 mal5 -> S1 Kill

lsop1349987

avast扫描3x双击2x kill all

vm001

火绒

3.4无法运行.1无拦截

hansyu

ESSP 解压kill all
R:\TestBox\mal2\d3dx9_43.dll;Win32/Packed.VMProtect.BC 可疑应用程序 的变量;已通过删除清除
R:\TestBox\mal3\WebView2Loader.dll;Win64/Packed.VMProtect.AC 可疑应用程序 的变量;已通过删除清除
R:\TestBox\mal4\WebView2Loader.dll;Win64/Packed.VMProtect.AC 可疑应用程序 的变量;已通过删除清除
R:\TestBox\mal5\Setup.exe;Generik.GCQPTKS 特洛伊木马 的变量;已通过删除清除
R:\TestBox\mal1\Setup.exe;Win32/IObit.J 潜在的不受欢迎应用程序 的变量;已通过删除清除

Loyisa

DisaPDB 发表于 2024-12-1 11:37
360 扫描miss all.
双击 mal2
mal5

呼叫肉鸡哥 @wowocock

scottxzt

WD 剩余的无法运行  

清道夫900

360TS  解压5X，mal5文件夹空了