Lumma Stealer (známý také jako LummaC2 nebo LummaC2 Stealer) je typ škodlivého softwaru kategorie infostealer (z angl. information stealer), který je od roku 2022 nabízen formou služby (Malware-as-a-Service, MaaS) na rusky mluvících podzemních fórech. Malware je zaměřen na krádež citlivých dat z napadených zařízení, zejména přihlašovacích údajů, souborů cookie z prohlížečů, dat kryptoměnových peněženek a tokenů dvoufaktorového ověřování.
Historie Lumma Stealer se objevil na kyberkriminálních fórech přibližně v srpnu 2022. V následujících letech se stal jedním z nejrozšířenějších infostealerů vůbec, a to díky kombinaci nízké ceny pronájmu, pravidelných aktualizací a flexibilní infrastruktury.
Malware byl dvakrát terčem koordinovaných zásahů donucovacích orgánů. V roce 2024 byl narušen v rámci mezinárodní akce Operation Secure, která postihla celkem 69 variant infostealerů. Druhý a významnější zásah proběhl 21. května 2025, kdy Ministerstvo spravedlnosti Spojených států ve spolupráci s Microsoftem, FBI a Europolem zajistilo přibližně 2 300 domén spojených s infrastrukturou Lumma.
V obou případech ale operátoři infrastrukturu během několika týdnů až měsíců obnovili. Společnost Bitdefender ve zprávě z 11. února 2026 potvrdila, že síť Lumma opět funguje a šíří se celosvětově, s největší koncentrací nákaz v Indii a dalšími výraznými výskyty v USA a Evropě.
Způsob šíření Provozovatelé Lumma Stealer nespoléhají na jedinou distribuční cestu, ale kombinují hned několik technik:
Falešné CAPTCHA stránky (technika ClickFix) – oběť je vyzvána, aby si sama zkopírovala a spustila příkaz údajně za účelem ověření, že není robot. Malvertising – šíření prostřednictvím podvržených reklam nabízejících ke stažení podepsané instalační soubory (MSI, ZIP). Falešné repozitáře na GitHubu – často doplněné o texty vygenerované umělou inteligencí, vydávající se za herní cheaty nebo nástroje. Podvržené YouTube návody a odkazy na "prolomený" software a keygeny.
Zajímavou technickou obměnu popsal tým Microsoft Threat Intelligence v březnu 2026: místo klasického dialogového okna Spustit (Win+R) útočná kampaň z února 2026 instruovala oběti ke stisknutí Win+X a následně I, čímž se namísto toho otevírá Windows Terminal. Změna má za cíl obejít pravidla detekce v EDR nástrojích, která jsou typicky nastavena na sledování procesů odvozených z dialogu Spustit.
Technické fungování Po spuštění škodlivého příkazu obvykle následuje vícestupňové stažení a dešifrování dat v paměti (např. prostřednictvím loaderu typu CastleLoader, který používá XOR dešifrování a LZNT1 dekompresi), než dojde ke spuštění samotného payloadu Lumma.
Malware následně shromažďuje:
přihlašovací údaje uložené v prohlížečích, soubory cookie, včetně těch s příznaky HttpOnly a Secure, data kryptoměnových peněženek a rozšíření prohlížečů, údaje o platebních kartách, tokeny dvoufaktorového ověřování.
Za zmínku stojí, že Lumma neprolamuje druhý faktor ověření jako takový, místo toho krade již ověřený relační token (session token) a ten následně znovu použije (tzv. session hijacking / replay útok), čímž efektivně obchází dvoufaktorové ověření.
Získaná data jsou následně exfiltrována na servery řízené útočníky (command-and-control, C2), v některých zdokumentovaných případech hostované u poskytovatele Selectel.
Návaznost na širší kyberkriminální ekosystém Lumma Stealer sám o sobě není nástrojem pro nasazení ransomwaru. Slouží především k získávání přihlašovacích údajů, které jsou následně prodávány tzv. initial access brokerům (makléřům počátečního přístupu) a mohou skončit v rukou ransomwarových skupin – nejvýrazněji je zmiňována spojitost se skupinou Scattered Spider (známou také jako Octo Tempest).
Odkazy
Reference
Kategorie:Malware