Киберпреступники активно распространяют вредоносное ПО Lumma Stealer, маскируя его под PDF-документы и используя скомпрометированные серверы образовательных учреждений. Атака направлена на организации из различных сфер, включая финансы, здравоохранение, технологии и СМИ. Вредоносные LNK-файлы, замаскированные под документы, запускают многоэтапный процесс заражения, позволяя злоумышленникам похищать пароли, данные браузеров и криптовалютные кошельки.
Описание
Lumma Stealer распространяется по модели Malware-as-a-Service (MaaS) и использует сложные методы маскировки, включая командные серверы, замаскированные под профили в Steam. Жертвами становятся пользователи, переходящие по фишинговым ссылкам или загружающие поддельные документы. В одном из случаев злоумышленники разместили вредоносный файл на WebDAV-сервере под видом документа с расценками на обучение.
После запуска LNK-файл выполняет PowerShell-скрипт, который загружает и расшифровывает основной вредоносный модуль. Финальная стадия атаки - загрузка и выполнение Lumma Stealer, который пытается связаться с командными серверами. Если доступ к ним заблокирован, троянец использует зашифрованные данные из профиля Steam для получения новых C2-адресов.
Эксперты предупреждают о необходимости усиления кибербезопасности и обучения сотрудников распознаванию фишинговых атак. Рекомендуется блокировать подозрительные ссылки, проверять расширения файлов и использовать современные антивирусные решения для защиты от подобных угроз.
Индикаторы компрометации
