Falske Captcha-prompt og Lumma Stealer
Dårlige aktører bruker falske Captcha-prompt for å distribuere filfri Lumma Stealer-malware, ifølge forskning fra cybersikkerhetsfirmaet DNSFilter. Først oppdaget på et gresk banknettsted, ber prompten Windows-brukere om å kopiere og lime inn teksten i Kjør-dialogboksen, og deretter trykke Enter. DNSFilter rapporterer at firmaets kunder interagerte med den falske Captcha 23 ganger i løpet av tre dager, og at 17 % av de som møtte prompten fullførte trinnene på skjermen, noe som resulterte i et forsøk på levering av malware.
Lumma Stealer: En trussel mot sikkerheten
DNSFilters globale partner-evangelist, Mikey Pruitt, forklarte at Lumma Stealer er en form for malware som søker etter legitimasjon og annen sensitiv informasjon på en infisert enhet.
«Lumma Stealer feier umiddelbart systemet for alt det kan monetisere – nettleserlagrede passord og informasjonskapsler, lagrede 2FA-tokens, kryptovaluta-lommebokdata, fjernadgangslegitimasjon, og til og med passordbehandler-lagre,»
fortalte han til Decrypt. Pruitt presiserte at de dårlige aktørene bruker stjålet data til en rekke formål som vanligvis koker ned til økonomisk gevinst, som ID-tyveri og tilgang til nettbaserte kontoer for økonomisk tyveri eller svindeltransaksjoner, samt å få tilgang til kryptovaluta-lommebøker.
Malware-as-a-Service (MaaS)
Lumma Stealer er ikke bare malware, men et eksempel på Malware-as-a-Service (MaaS), som sikkerhetsfirmaer har rapportert er ansvarlig for en økning i malware-angrep de siste årene. Ifølge ESETs malware-analytiker Jakub Tomanek, utvikler operatørene bak Lumma Stealer funksjonene, forbedrer evnen til å unngå malware-detektering, samtidig som de registrerer domener for å hoste malware.
«Deres primære mål er å holde tjenesten operativ og lønnsom, samle månedlige abonnementsavgifter fra tilknyttede – effektivt drive Lumma Stealer som en bærekraftig cyberkriminell virksomhet.»
Fordi det sparer cyberkriminelle behovet for å utvikle malware og enhver underliggende infrastruktur, har MaaS som Lumma Stealer vist seg å være svært populært.
Økningen av Lumma Stealer-trusselen
I mai beslagla det amerikanske justisdepartementet fem internett-domenene som dårlige aktører brukte for å operere Lumma Stealer-malware, mens Microsoft privat tok ned 2 300 lignende domener. Likevel har rapporter vist at Lumma Stealer har gjenoppstått siden mai, med en juli-analyse fra Trend Micro som viser at «antallet målrettede kontoer jevnt tilbake til sine vanlige nivåer» mellom juni og juli. En del av appellen til Lumma Stealer er at abonnementene, som ofte er månedlige, er rimelige i forhold til de potensielle gevinstene som kan oppnås.
«Tilgjengelig på dark web-fora for så lite som $250, retter denne sofistikerte informasjonsstjeler seg spesifikt mot det som betyr mest for cyberkriminelle – kryptovaluta-lommebøker, nettleserlagrede legitimasjoner, og to-faktor autentiseringssystemer,»
sa Nathaniel Jones, VP for sikkerhet og AI-strategi hos Darktrace.
Konsekvenser av Lumma Stealer
Jones fortalte Decrypt at omfanget av Lumma Stealer-utnyttelser har vært «alarming,» med 2023 som vitne til estimerte tap på $36,5 millioner, samt 400 000 Windows-enheter infisert i løpet av to måneder.
«Men den virkelige bekymringen er ikke bare tallene – det er den flerlags monetiseringsstrategien,»
sa han. «Lumma stjeler ikke bare data, det høster systematisk nettleserhistorikk, systeminformasjon, og til og med AnyDesk-konfigurasjonsfiler før det eksfiltrerer alt til russisk-kontrollerte kommandosentre.»
Internasjonal trussel
Økningen av trusselen fra Lumma Stealer er det faktum at stjålet data ofte mates direkte inn i «traffer-team,» som spesialiserer seg på tyveri og videresalg av legitimasjoner.
«Dette skaper en ødeleggende kaskadeeffekt der en enkelt infeksjon kan føre til bankkonto-hijacking, kryptovaluta-tyveri, og identitetssvindel som vedvarer lenge etter det første bruddet,»
legger Jones til. Mens Darktrace antydet en russisk opprinnelse eller senter for Lumma-relaterte utnyttelser, bemerket DNSFilter at de dårlige aktørene som bruker malware-tjenesten kan operere fra flere territorier.
«Det er vanlig at slike ondsinnede aktiviteter involverer enkeltpersoner eller grupper fra flere land,»
sa Pruitt, og la til at dette er spesielt utbredt med bruk av internasjonale hosting-leverandører og malware-distribusjonsplattformer.
