Author: Neljorn Nathaniel Aguas   
 

Trojan:Win32/LummaStealer.SX!MTB (MICROSOFT)

 PLATFORM:

Windows

 OVER ALL RISK RATING:
 DAMAGE POTENTIAL::
 DISTRIBUTION POTENTIAL::
 REPORTED INFECTION:
 INFORMATION EXPOSURE:
Low
Medium
High
Critical

  • Threat Type:
    Trojan Spy

  • Destructiveness:
    No

  • Encrypted:
    No

  • In the wild::
    Yes

  OVERVIEW

INFECTION CHANNEL: Eliminado por otro tipo de malware, Descargado de Internet

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Se conecta a determinados sitios Web para enviar y recibir información.

  TECHNICAL DETAILS

File size: 327,168 bytes
File type: EXE
Memory resident: No
INITIAL SAMPLES RECEIVED DATE: 29 de марта de 2024
PAYLOAD: Connects to URLs/IPs, Steals information, Collects system information

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Robo de información

Recopila los siguientes datos:

  • System Information:
    • Malware's ID
    • Malware's Complete Filename
    • Malware's Execution Date and Time
    • OS Information
    • OS Installation Date
    • Hardware ID
    • RAM Information
    • CPU Information
    • GPU Information
    • System Language
    • Time Zone
    • Username
    • Computer Name
    • Hostname
    • Domain Name
    • NetBIOS Domain Name
    • Programs Installed
    • Antivirus Installed
    • Screen Resolution
    • Clipboard Data

  • Wallet Browser Extensions:
    • Agrent X
      • dlcobpjiigpikoobohmabehhmhfoodbb
    • Auro
      • cnmamaachppnkjgnildpdmkaakejnhae
    • Backpack
      • aflkmfhebedbjioipglgcbcmnbpgliof
    • Binance Chain Wallet
      • fhbohimaelbohpjbbldcngcnapndodjp
    • BinanceWallet
      • fhbohimaelbohpjbbldcngcnapndodjp
    • BitApp
      • fihkakfobkmkjojpchpfgcmhfjnmnfpi
    • BitClip
      • ijmpgkjfkbfhoebgogflfebnmejmfbm
    • Braavos
      • jnlgamecbpmbajjfhmmmlhejkemejdma
    • Byone
      • nlgbhdfgdhgbiamfdfmbikcdghidoadd
    • Clover
      • nhnkbkgjikgcigadomkphalanndcapjk
    • Coin98
      • aeachknmefphepccionboohckonoeemg
    • Coinbase
      • hnfanknocfeofbddgcijnmhnfnkdnaad
    • Coinhub
      • jgaaimajipbpdogpdglhaphldakikgef
    • Compas Wallet
      • anokgmphncpekkhclmingpimjmcooifb
    • CryptoCom
      • hifafgmccdpekplomjjkcfgodnhcellj
    • Cyano
      • dkdedlpgdmmkkfjabffeganieamfklkm
    • DAppPlay
      • lodccjjbdhfakaekdiahmedfbieldgik
    • EnKrypt
      • kkpllkodjeloidieedojogacfhpaihoh
    • EQUA
      • blnieiiffboillknjnepogjhkgnoapac
    • ExodusWeb3
      • aholpfdialjgjfhomihkjbmgjidlcdno
    • Fluvi Wallet
      • mmmjbcfofconkannjonfmjjajpllddbg
    • Frontier Wallet
      • kppfdiipphfccemcignhifpjkapfbihd
    • Glass Wallet
      • loinekcabhlmhjjbocijdoimmejangoa
    • Guarda
      • hpglfhgfnhbgpjdenjgmdgoeiappafln
    • Guild
      • nanjmdknhkinifnkgdcggcfnhdaammmj
    • Havah Wallet
      • cnncmdhjacpkmjmkcafchppbnpnhdmon
    • Hycon Lite Client
      • bcopgchhojmggmffilplmbdicgaihlkp
    • ICONex
      • flpiciilemghbmfalicajoolhkkenfe
    • iWlt
      • kncchdigobghenbbaddojjnnaogfppfj
    • Jaxx Liberty
      • cjelfplplebdjjenllpjcblmjkfcffne
    • Keplr
      • dmkamcknogkgcdfhhbddcghachkejeap
    • KHC
      • hcflpincpppdclinealmandijcmnkbgn
    • Leaf
      • cihmoadaighcejopammfbmddcmdekcje
    • Leap Wallet
      • fcfcfllfndlomdhbehjjcoimbgofdncg
    • Liquality
      • kpfopkelmapcoipemfendmdcghnegimn
    • Magic Eden
      • mkpegjkblkkefacfnmkajcjmabijhclg
    • Martian
      • efbglgofoippbgcjepnhiblaibcnclgk
    • Math
      • afbcbjpbpfadlkmhmclhkeeodmamcflc
    • MetaMask
      • ejbalbakoplchlghecdalmeeeajnimhm
      • nkbihfbeogaeaoehlefnkodbefgpgknn
    • MEW CX
      • nlbmnnijcnlegkjjpcfjclmcfggfefdm
    • MewCX
      • nlbmnnijcnlegkjjpcfjclmcfggfefdm
    • Morphis Wallet
      • heefohaffomkkkphnlpohglngmbcclhi
    • MultiversX Wallet
      • dngmlblcodfobpdpecaadgfbcggfjfnm
    • Nabox
      • nknhiehlklippafakaeklbeglecifhad
    • Nami
      • lpfcbjknijpeeillifnkikgncikgfhdo
    • Nash Extension
      • onofpnbbkehpmmoabgpcpmigafmmnjh
    • NeoLine
      • cphhlgmgameodnhkjdmkpanlelnlohao
    • Nifty
      • jbdaocneiiinmjbjlgalhcelgbejmnid
    • OKX
      • mcohilncbfahbmgdjkbpemcciiolgcge
    • OneKey
      • infeboajgfhgbjpjbeppbkgnabfdkdaf
    • Petra
      • ejjladinnckdgjemekebdpeokbikhfci
    • Phantom
      • bfnaelmomeimhlpmgjnjophhpkkoljpa
    • PolkadotJS
      • mopnmbcafieddcagagdcbnhejhlodfdd
    • Polymesh
      • jojhfeoedkpkglbfimdfabpdfjaoolaf
    • Pontem
      • phkbamefinggmakgklpkljjmgibohnba
    • Rabby
      • acmacodkjbdgmoleebolmdjonilkdbch
    • Ronin Wallet
      • fnjhmkhhmkbjkkabndcnnogagogbneec
    • Safepal
      • lgmpcpglpngdoalbgeoldeajfclnhafa
    • Saturn
      • nkddgncdjgjfcddamfgcmfnlhccnimig
    • Solflare
      • bhhhlbepdkbapadjdnnojkbgioiodbic
    • Sollet
      • fhmfendgdocmcbmfikdcogofphimnkno
    • Steem Keychain
      • lkcjlnjfpbikmcmbachjpdbijejflpcm
    • Sub
      • onhogfjeacnfoofkfgppdlbmlmnplgbn
    • Sui Wallet
      • ocjdpmoallmgmjbbogfiiaofphbjgchh
    • Sui
      • opcgpfmipidbgpenhmajoajpbobppdil
    • Talisman
      • fijngjgcjhjmmpcmkeiomlglpeiijkld
    • Temple
      • ookjlbkiijinhpmnjffcofjonbfbgaoc
    • Terra Station
      • aiifbnbfobpmeekipheeijimdpnlpgpp
    • TezBox
      • mnfifefkajgofkcjkemidiaecocnkjeh
    • TronLink
      • ibnejdfjmmkpcnlpebklmnkoeoihofec
    • Trust Wallet
      • egjidjbpglichdcondbcbdnbeeppgdph
    • UniSat
      • ppbibelpcjmhbdihakflkdcoccbgbkpo
    • Venom Wallet
      • ojggmchlghnjlapmfbnjholfjkiidbch
    • Wombat
      • amkmjjmmflddogmhpjloimipbofnfjih
    • XVerse Wallet
      • idnnbdplmphpflfnlkomgpfbpcgelopg
    • Yoroi
      • ffnbelfdoeiohenkjibnmadjiehjhajb
    • ZilPay
      • klnaejjgbibmhlephnhpmaofohgkpgkd

  • Authenticator Browser Extensions:
    • Authenticator
      • bhghoamapcdpbohphigoooaddinpkbai
    • Authy
      • gaedmjdfmmahhbjefcbgaolhhanlaolb
    • EOS Authenticator
      • oeljdldpnmdbchonielidgobddfffla
    • GAuth Authenticator
      • ilgcnhelpchnceeipipijaljkblbcob

  • Password Manager Browser Extensions:
    • Bitwarden
      • nngceckbapebfimnlniiiahkandclblb
    • Trezor Password Manager
      • imloifkgjagghnncjkhggdhalmcnfklk

  • Wallet Data Stored Locally:
    • Atomic
      • %Application Data%\atomic\Local Storage\leveldb
        • All files
    • Binance
      • %Application Data%\Binance
        • app-store.json
        • .finger-print.fp
        • simple-storage.json
        • window-state.json
    • Bitcoin
      • %Application Data%\Bitcoin\wallets
        • All files
    • Coinomi
      • %AppDataLocal%\Coinomi\Coinomi\wallets
        • All files
    • Electrum
      • %Application Data%\Electrum\wallets
        • All files
    • Ethereum
      • %Application Data%\Ethereum
        • keystore
    • Exodus
      • %Application Data%\Exodus\exodus.wallet
        • All files
    • Jaxx Liberty
      • %Application Data%\com.liberty.jaxx\IndexedDB
        • *.leveldb
    • Ledger Live
      • %Application Data%\Ledger Live
        • All files

  • Application Data Stored Locally:
    • AnyDesk
      • %Application Data%\AnyDesk
        • *.conf
    • Authy Desktop
      • %Application Data%\Authy Desktop\Local Storage\leveldb
        • All files
    • FileZilla
      • %Application Data%\FileZilla
        • recentservers.xml
        • sitemanager.xml
    • KeePass
      • %User Profile%
        • *.kbdx
    • Telegram
      • %Application Data%\Telegram Desktop
        • *s
      • C:\Program Files\Telegram Desktop
        • *s
      • C:\Program Files (x86)\Telegram Desktop
        • *s

  • Browser User Data:
    • 360 Browser
      • %AppDataLocal%\360Browser\Browser\User Data
    • Brave
      • %AppDataLocal%\BraveSoftware\Brave-Browser\User Data
    • Chrome Beta
      • %AppDataLocal%\Google\Chrome Beta\User Data
    • Chrome
      • %AppDataLocal%\Google\Chrome\User Data
    • Coc Coc
      • %AppDataLocal%\CocCoc\Browser\User Data
    • Edge
      • %AppDataLocal%\Microsoft\Edge\User Data
    • Epic Privacy Browser
      • %AppDataLocal%\Epic Privacy Browser\User Data
    • Mozilla Firefox
      • %Application Data%\Mozilla\Firefox\Profiles
    • Opera GX Stable
      • %Application Data%\Opera Software\Opera GX Stable
    • Opera Neon
      • %AppDataLocal%\Opera Software\Opera Neon\User Data
    • Opera
      • %Application Data%\Opera Software\Opera Stable
    • Vivaldi
      • %AppDataLocal%\Vivaldi\User Data

  • Email Client Data:
    • The Bat!
      • %Application Data%\The Bat!
        • *.ABD
        • *.EML
        • *.FLX
        • *.HBI
        • *.mbox
        • *.MSB
        • *.MSG
        • *.TBB
        • *.TBK
        • *.TBN
        • *.txt
    • Pegasus Mail
      • C:\PMAIL
        • *.CNM
        • *.PM
        • *.PMF
        • *.PML
        • *.PMN
        • *.USR
        • *.WPM
        • *CACHE.PM
    • Mailbird
      • %AppDataLocal%\Mailbird\Store
        • *.db
    • eM Client
      • %Application Data%\eM Client
        • *.dat
        • *.dat-shm
        • *.dat-wal
        • *.eml

  • Text Files:
    • %User Profile%
      • *bitcoin*.txt
      • *ledger*.txt
      • *metamask*.txt
      • *pass*.txt
      • *seed*.txt
      • *trezor*.txt
      • *wallet*.txt
      • *words*
    • %User Profile%\Desktop
      • *.txt
      • *.pdf

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).

)

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

  • https://{BLOCKED}kywo.shop/api

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

  • https://{BLOCKED}kywo.shop

Hace lo siguiente:

  • It compiles and compresses the stolen information in memory before sending it to the C&C server.

  SOLUTION

Minimum scan engine: 9.800
First VSAPI Pattern File: 19.247.00
First VSAPI Pattern Release Date: 29 de марта de 2024
VSAPI OPR PATTERN-VERSION: 19.247.00
VSAPI OPR PATTERN DATE: 30 de марта de 2024

Step 2

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 3

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TrojanSpy.Win32.LUMMAC.NLJ En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


Did this description help? Tell us how we did.