Киберпрестъпници разкриха свои „колеги“ в мащабна кампания

Началото на края на една от най-опасните зловредни програми днес, започна да се вижда. Причината е, че конкурентна киберпрестъпна банда е започнала да публикува лични данни на основни членове на групата.

Става дума за Lumma Stealer. Появила се в края на 2022 година, Lumma Stealer е зловредна програма, разпространяваща се по MaaS (malware-as-a-service) бизнес модела. В случая, киберпрестъпници плащат абонаментна такса на създателите на Lumma, като те даже предлагат различни планове – от $250 до $20 000. Сравнително ниската му цена за използване, високата му ефективност и модулна структура, бързо превръщат Lumma Stealer в бедствие в Интернет. В началото той се разпространява в кракнат софтуер и чийт програми. Скоро методите му за разпространение се увеличават – фишинг писма, зловредна реклама и др. Това, което прави Lumma Stealer, както подсказва името ѝ, е да краде информация. Тя има вградени функционалности за кражба на информация от криптопортфейли, както и от основните браузъри, от мениджъри на пароли, от 2FA приложения и браузър плъгини.

Но изглежда, както казваме у нас, създателите на Lumma са си „намерили майстора“. Trend Micro са се натъкнали на интернет ресурс – Lumma Rats – на който се публикуват чувствителни данни на администриращите зловредната програма.

Самата кампания към хората зад Lumma изглежда е стартирала през септември. По това време се наблюдава понижена активност от страна на разпространяващите програмата. Киберпрестъпниците, които биват разобличавани са свързани с оперативните дейности, но също и с технически роли. Сред данните, които са публикувани на Lumma Rats има номера на паспорти, банкова информация, имейл адреси и връзки към профилите на лицата в социалните мрежи.

„Кампанията за разобличаване е съпроводена от заплахи, обвинения в предателство в средата на киберпрестъпната общност. А така също и обвинения, че екипът на Lumma Stealer е поставил печалбата пред оперативната сигурност на своите клиенти“, пишат Trend Micro. Междувременно, в средата на миналия месец техният Telegram акаунт изглежда е бил превзет. Така, начините им да се свързват с потенциални клиенти са намалели значително. Trend Micro допълват, че в ъндърграунд форумите вече се обсъждат активно възможно алтернативи на Lumma Stealer. Като най-вероятно кандидати да заемат мястото на троянската програма изглежда са Vidar и StealC.

За мащаба на Lumma може да с съди от проведена през май 2024 операция от полицейските служби и Microsoft. Тогава биват блокирани над 2000 домейна, разпространяващи програмата. Идентифицирани са също така 394 000 Windows системи, заразени с Lumma.

“Тази ситуация илюстрира важен момент. В света на програмите, крадящи данни (и в киберпрестъпния свят като цяло) да си номер едно означава да се срещнеш с наблюдение и атаки. Както от страна на защитниците, така и на конкуренцията“, заключават Trend Micro.