Lumma Stealer: tecniche di infezione del malware

Microsoft, Europol, Dipartimento di Giustizia degli Stati Uniti, Cybercrime Control Center del Giappone, ESET, Cloudflare, CleanDNS, Bitsight, Lumen e GMO Registry hanno smantellato l’infrastruttura di Lumma Stealer. L’azienda di Redmond ha pubblicato un report dettagliato per descrivere le tecniche di infezione del malware.

Modalità di distribuzione e funzionalità

Lumma Stealer era il più grande infostealer del mondo. Veniva offerto in abbonamento (malware-as-a-service) con prezzi tra 250 e 1.000 dollari. I cybercriminali usavano il malware per rubare credenziali, informazioni personali e dati finanziari, successivamente venduti attraverso un marketplace dedicato. Microsoft ha identificato oltre 394.000 computer infetti e, in collaborazione con forze dell’ordine e partner internazionali, ha messo fuori uso circa 2.300 domini che formavano la backbone dell’infrastruttura.

Solitamente gli infostealer vengono distribuiti tramite spam o exploit. I gestori di Lumma Stealer usavano numerose tecniche per cercare di aggirare le protezioni (ma non è servito) e aumentare la probabilità di successo. Una di esse prevedeva l’invio di email di phishing che sembrano provenire da noti brand, ma i link presenti nel messaggio portavano l’utente a siti che ospitano il malware.

Lo stesso obiettivo veniva raggiunto tramite malvertising. Quando l’utente cercava un software, il motore di ricerca mostrava un annuncio pubblicitario fasullo che puntava al sito clone. Un’altra tecnica era il drive-by-download. Siti legittimi venivano infettati con JavaScript che scaricavano automaticamente il malware sul computer, quando l’utente visitava la pagina web.

Lumma Stealer è stato anche nascosto in software pirata distribuito tramite piattaforme di file sharing. L’infostealer veniva inoltre scaricato da altri malware, come il loader Danabot. È stato infine distribuito attraverso la nota campagna ClickFix. L’utente doveva eseguire un comando per risolvere un CAPTCHA fasullo, ma in realtà installava Lumma sul computer.