lummastealer 脚本 测主防用

ulyanov2233

链接：https://qfile.qq.com/q/CLkKwFgIqQ 密码:infected
vt2/63：https://www.virustotal.com/gui/f ... f7b855707/community

UNknownOoo

火绒
运行

（手动运行ps1的话会自动放行）

1. 防护项目：利用PowerShell执行可疑脚本
   
2. 执行文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
3. 执行命令行：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -Command "if((Get-ExecutionPolicy ) -ne 'AllSigned') { Set-ExecutionPolicy -Scope Process Bypass }; & 'C:\Users\User\Desktop\95eebe63103c046555a1dbae238a77003798f99f97352fadaa5c5e9f7b855707.ps1'"
   
4. 操作结果：已允许
   

复制代码

内存防护捉

1. 病毒名称：Backdoor/Lotok.kh
   
2. 病毒ID：89A4D4F83C19233E
   
3. 虚拟地址：0x00000000032B0000
   
4. 映像大小：360KB
   
5. 是否完整映像：否
   
6. 数据流哈希：84b3a383
   
7. 操作结果：处理成功，进程已结束
   
8. 进程ID：3952
   
9. 操作进程：C:\Windows\SysWOW64\explorer.exe
   
10. 操作进程命令行：C:\Windows\SysWOW64\explorer.exe
    
11. 父进程ID：5324
    
12. 父进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
13. 父进程命令行：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -Command "if((Get-ExecutionPolicy ) -ne 'AllSigned') { Set-ExecutionPolicy -Scope Process Bypass }; & 'C:\Users\User\Desktop\95eebe63103c046555a1dbae238a77003798f99f97352fadaa5c5e9f7b855707.ps1'"

复制代码

inhh1

CS Killed

tony099

卡巴扫描miss,opentip为clean

https://opentip.kaspersky.com/95 ... /results?tab=upload

懂法守法放到

事件: 检测到恶意对象
应用程序: 卡巴斯基标准版
用户: DESKTOP-DOQ1659\xinyu
用户类型: 活动用户
组件: 系统监控
结果描述: 检测到
类型: 木马
名称: MEM:Trojan.Win32.SEPEH.gen
威胁级别: 高
对象类型: 文件
对象路径: pmem:\C:\Windows\System32\WindowsPowerShell\v1.0
对象名称: powershell.exe
原因: 专家分析
数据库发布日期: 昨天，2025/7/7 22:39:00

喀反

WD双击

tony099

懂法守法放到 发表于 2025-7-8 22:32
事件: 检测到恶意对象
应用程序: 卡巴斯基标准版
用户: DESKTOP-DOQ1659\xinyu

你这是双击了嘛？

懂法守法放到

tony099 发表于 2025-7-8 22:36
你这是双击了嘛？

是的

驭龙

ESET拉黑
2025/7/8 22:41:15;Real-time file system protection;file;E:\Virus\95eebe63103c046555a1dbae238a77003798f99f97352fadaa5c5e9f7b855707\95eebe63103c046555a1dbae238a77003798f99f97352fadaa5c5e9f7b855707.ps1;
Suspicious Object;cleaned by deleting;
Event occurred during an attempt to access the file by the application: C:\Windows\System32\vmconnect.exe (5787567478ED38517BD4DA0987AD7F5EE7571649).;D50D40B6AB0003D1E0B33A387856F80DEAB45245;2025/7/8 22:40:09

tony099

懂法守法放到 发表于 2025-7-8 22:40
是的

我双击了没反应啊