#LummaStealer 2x

ulyanov2233

tony099 发表于 2025-7-8 13:11
已经发邮件上报了

天穹沙箱抓出来的恶意行为

该样本文件名为Setup1.exe，MD5为deacbbc41db79487f91394813d0988d2，是一个高度危险的恶意软件样本。样本在运行过程中表现出多种可疑行为，包括篡改系统进程列表、频繁调用系统函数、遍历系统目录以查找感染目标、写入临时文件、删除注册表键等。这些行为表明样本具有较强的隐蔽性和攻击性，旨在逃避检测并进行恶意活动。

样本的动态行为分析显示，它首先通过PID为4900的SyStem.exe进程创建了一个新的进程PID为3972的setup1.exe。setup1.exe进程在运行过程中频繁调用系统函数NtProtectVirtualMemory，这可能是为了保护其代码或数据免受调试工具的修改。此外，样本还遍历了多个系统目录，如C:\Windows\System32\oleaut32.dll、C:\Windows\SYSTEM32\urlmon.dll等，这可能是在寻找潜在的感染目标或进行恶意操作。

样本还释放了多个临时文件，包括C:\ProgramData\Microsoft\Windows\WER\Temp\WERE850.tmp.csv、C:\ProgramData\Microsoft\Windows\WER\Temp\WERE890.tmp.txt等，这些文件可能用于记录样本的活动或作为恶意操作的一部分。此外，样本还通过PID为2912的werfault.exe进程写入了多个临时文件，如C:\ProgramData\Microsoft\Windows\WER\Temp\WERE5EF.tmp.dmp和C:\ProgramData\Microsoft\Windows\WER\Temp\WERE7E4.tmp.WERInternalMetadata.xml，这些文件可能用于记录崩溃信息或进行恶意操作。

样本还表现出跨进程恢复线程执行的行为，这可能意味着样本具有一定的进程注入能力，能够将恶意代码注入到其他进程中以实现持久化或进一步的恶意活动。此外，样本还删除了注册表键\REGISTRY\A\{716bad63-7f93-f9ce-f0c2-dfc675af10ad}\Root\InventoryApplicationFile\PermissionsCheckTestKey，这可能意味着样本试图清除其活动痕迹或干扰安全软件的检测。

综上所述，该样本是一个高度危险的恶意软件样本，具有较强的隐蔽性和攻击性，能够通过多种方式逃避检测并进行恶意活动。

tony099

jxfaiu 发表于 2025-7-8 13:04
https://www.virustotal.com/gui/f ... 93ed380d9190378e7cb
https://www.virustotal.com/gui/f ... 90fe5 ...

双击pdm有反应嘛

453125415

tony099 发表于 2025-7-8 13:17
双击pdm有反应嘛

没有，等了5分钟后手动扫描也没查出来

aikafans

avast 、fsp miss

GDHJDSYDH

AnyRun检出exe：https://app.any.run/tasks/e01833d5-818c-4800-9d23-88eb289bdaa9

munsimli

tony099 发表于 2025-7-8 13:17
双击pdm有反应嘛

手賤點了2下，只有在入侵防禦看到setup1被分類到低限制組的紀錄，
沒有其他動作，主防也沒發力

莒县小哥

MD扫描不杀

lsop1349987

emsi双击miss
hmpa双击kill

请叫我德玛西亚

铁壳  SONAR.SuspStart!gen14

scottxzt

卡巴云拉黑了