renpy loader vt：0/65

ANY.LNK

UNknownOoo 发表于 2025-6-23 00:22
#LummaStealer

data\.temp\3uxurLTK.exe （Qt5Core.dll 可能为黑DLL）注入

补充一个，.key base64解码后的内容如下：

1. {"filename": "v6hiZVWDR5.txt", "password": "vavVCCxvp7tL", "exec_file": "3uxurLTK.exe", "sandbox": false, "final_zip_name": "Instsatp_668250"}

复制代码

UNknownOoo

ANY.LNK 发表于 2025-6-23 00:45
补充一个，.key base64解码后的内容如下：

（前面有个持久化忘提了...注入360组件（XPFix.exe）应该是为了写入持久化）其实LummaStealer跑完后还有注入系统进程的行为...不清楚在干嘛

Fadouse

CS 双击Kill（断网残废CS


ES Kill 拦截点基本与CS相同

pal家族

压缩包就不要上传OP了、、、

ANY.LNK

UNknownOoo 发表于 2025-6-23 01:03
（前面有个持久化忘提了...注入360组件（XPFix.exe）应该是为了写入持久化）其实LummaStealer跑完后还有 ...

虽然之前也见到过LummaStealer携带XPFix.exe的，不过那时没有见到持久化的行为，注入其他系统进程之前倒没注意，或许是等待别的有价值的信息？

ulyanov2233

pal家族 发表于 2025-6-23 01:19
压缩包就不要上传OP了、、、

没那个水平，看不出哪个是黑dll，只能打包传上去

GDHJDSYDH

沙盒内运行冰盾拦截数次，目前ESET拉黑一个黑DLL（沙盒内运行后ESET自动上报了）

1. 2025/6/22 12:30:46;文件系统实时防护;文件;C:\Users\gdhjd\Downloads\.temp\Qt5Core.dll;Suspicious Object;已通过删除清除;NT AUTHORITY\SYSTEM;尝试通过应用程序访问文件时发生事件: C:\Windows\System32\SearchProtocolHost.exe (D23EA975547E29E83650D3219D343586AFFEA86D).;9D106AEBB831CC9256A28556EF05821E40194186;2025/6/22 12:25:20

复制代码

QVM360

UNknownOoo 发表于 2025-6-23 00:22
#LummaStealer

data\.temp\3uxurLTK.exe （Qt5Core.dll 可能为黑DLL）注入

好久没看论坛了，咋还是这个openwith.exe

1073328164

迈克菲扫描 miss

GDHJDSYDH

ulyanov2233 发表于 2025-6-22 23:57
还真是恶意软件啊，我这一路沙箱跑下来都不敢相信这是个病毒了

给你接龙一下衍生物，顺便衍生物的黑DLL在MB上终于有一家引擎检出LummaStealer特征（而且还是最近才上线的）