{"id":10734,"date":"2025-05-22T13:31:31","date_gmt":"2025-05-22T19:31:31","guid":{"rendered":"https:\/\/beaconlab.us\/?p=10734"},"modified":"2025-05-22T13:34:31","modified_gmt":"2025-05-22T19:34:31","slug":"operacion-de-takedown-sobre-malware-lumma-stealer","status":"publish","type":"post","link":"https:\/\/beaconlab.us\/es\/operacion-de-takedown-sobre-malware-lumma-stealer\/","title":{"rendered":"Operaci\u00f3n de Takedown sobre malware Lumma Stealer"},"content":{"rendered":"\n

Una operaci\u00f3n de takedown se llevo acab\u00f3 para desarticular la infraestructura utilizada por el malware stealer llamado Lumma, dicha operaci\u00f3n fue liderada por la Unidad de Delitos Digitales (DCU) de Microsoft y sus socios internacionales (ESET<\/a> , Bitsight<\/a> , Lumen<\/a> , Cloudflare<\/a> , CleanDNS<\/a> y GMO Registry<\/a>).<\/p>\n\n\n\n

Lumma Stealer (tambi\u00e9n conocido como LummaC2 Stealer) es un malware (malicious software) creado para robar informaci\u00f3n, ya sean credenciales almacenadas en el sitema operativo y navegadores, adem\u00e1s tambi\u00e9n tiene capacidades para robar tarjetas de cr\u00e9dito, cuentas bancarias, todo esto esta disponible a trav\u00e9s de un modelo de Malware como Servicio (MaaS) en foros de habla rusa desde al menos agosto de 2022. Ataca principalmente a monederos de criptomonedas y extensiones de navegador con autenticaci\u00f3n de dos factores (2FA), antes de robar informaci\u00f3n confidencial del equipo de la v\u00edctima. Una vez obtenidos los datos, se exfiltran a un servidor C2 mediante solicitudes HTTP POST utilizando el agente de usuario \u00abTeslaBrowser\/5.5\u00bb. El ladr\u00f3n tambi\u00e9n cuenta con un dropper (cargador) no residente capaz de entregar cargas \u00fatiles adicionales mediante archivos EXE, DLL y PowerShell.<\/p>\n\n\n\n

\n
\"\"
Ilustraci\u00f3n 1 Captura de pantalla diferentes niveles de servicio ofreccido como Lumma MaaS. Tambi\u00e9n se adjunto logitipo del marketing de Lumma.<\/figcaption><\/figure>\n<\/figure>\n\n\n\n

<\/p>\n\n\n\n

Mediante una orden judicial otorgada por el Tribunal de Distrito de los Estados Unidos del Distrito Norte de Georgia, la DCU de Microsoft incaut\u00f3 y facilit\u00f3 la desactivaci\u00f3n, suspensi\u00f3n y bloqueo de aproximadamente 2300 dominios maliciosos que constitu\u00edan la columna vertebral de la infraestructura de Lumma. <\/p>\n\n\n\n

El takedown se llevo acabo entre el 16 de marzo y el 16 de mayo de 2025, se identific\u00f3 m\u00e1s de 394.000 ordenadores Windows infectados por el malware Lumma en todo el mundo. Adem\u00e1s, tambi\u00e9n se han confiscado o transfiridos a Microsoft m\u00e1s de 1.300 dominios, incluidos 300 dominios intervenidos por las fuerzas del orden con el apoyo de Europol, ser\u00e1n redirigidos a los sumideros (sinkholes) de Microsoft. <\/p>\n\n\n\n

Esta acci\u00f3n conjunta est\u00e1 dise\u00f1ada para ralentizar la velocidad con la que estos actores pueden lanzar sus ataques, minimizar la eficacia de sus campa\u00f1as y obstaculizar sus beneficios il\u00edcitos al recortar una importante fuente de ingresos.<\/p>\n\n\n\n

\n
\"\"
Ilustraci\u00f3n 2 Mapa de calor que detalla la progagaci\u00f3n global de infecciones y encuentros de malware Lumma Stealer en dispositivos Windows. Fuente: Microsoft<\/figcaption><\/figure>\n<\/figure>\n\n\n\n

<\/p>\n\n\n\n

\n
\"\"
Ilustraci\u00f3n 3 P\u00e1gina de bienvenida mostrada en mas de 900 dominios confiscados por Microsoft<\/figcaption><\/figure>\n<\/figure>\n\n\n\n
\n

<\/p>\n<\/blockquote>\n\n\n\n

Normalmente, el objetivo de los operadores de Lumma es monetizar la informaci\u00f3n robada o explotarla con diversos fines. Lumma es f\u00e1cil de distribuir, dif\u00edcil de detectar y puede programarse para eludir ciertas defensas de seguridad, lo que lo convierte en una herramienta predilecta para ciberdelincuentes y actores de amenazas en l\u00ednea, incluyendo prol\u00edficos actores de ransomware como Octo Tempest (Scattered Spider) [1]<\/sup><\/a>.<\/p>\n\n\n\n

\"\"
Ilustraci\u00f3n 4 Ejemplo de un correo de phishing de Booking.com y solicitud falsa de verificaci\u00f3n CAPTCHA.<\/figcaption><\/figure>\n\n\n\n

<\/p>\n\n\n\n

El malware suplanta la identidad de marcas de confianza, como Microsoft, Booking.com[2]<\/sup><\/a> entre otros, y se distribuye mediante correos electr\u00f3nicos de phishing selectivo y malvertising[3]<\/sup><\/a>, entre otros vectores. <\/p>\n\n\n\n

An\u00e1lisis de campa\u00f1as de malware :<\/h2>\n\n\n\n

Dentro de las compa\u00f1as de malware llevadas acabo con la infraestructura de Lumma Stealer, se han identificado varios tipos de campa\u00f1as como com\u00fan denominador, a continuaci\u00f3n hacemos un analisis de algunas campa\u00f1as  mas relevantes.<\/p>\n\n\n\n

Campa\u00f1as de CAPTCHA o ClickFix<\/h3>\n\n\n\n

Resumen de los hallazgos<\/h4>\n\n\n\n

Vector de ataque:<\/strong> p\u00e1ginas reCAPTCHA falsas en Tigris Object Storage, OCI Object Storage y Scaleway Object Storage <\/p>\n\n\n\n

M\u00e9todo:<\/strong> Usuarios enga\u00f1ados para ejecutar PowerShell inyectado en el portapapeles a trav\u00e9s de Windows + R <\/p>\n\n\n\n

Ejecuci\u00f3n:<\/strong> PowerShell inicia mshta.exe para recuperar el troyano disfrazado (sports[.]mp4) <\/p>\n\n\n\n

T\u00e9cnicas utilizadas (MITRE ATT&CK): <\/strong><\/p>\n\n\n\n