Aktiv təhdid ailəsiWindowsGiriş məlumatı oğurluğu
Malware Intelligence

Lumma Stealer

Lumma rusdilli forumlarda abunə ilə satılan, C dilində yazılmış infostealer-dir. Brauzer parollarını və kukilərini, kripto cüzdanları və ikifaktorlu autentifikasiya genişlənmələrini hədəf alır; əlavə yük endirib işə sala bilir.

2025-ci ilin mayında Microsoft, Europol və ABŞ Ədliyyə Nazirliyinin birgə əməliyyatında infrastrukturunun böyük hissəsi ələ keçirildi; qısa müddətdə yenidən quruldu.

Fəaliyyət xəritəsi

Fəaliyyət xəritəsiJavaScriptİstifadəçi yapışdırırKomandaAlt prosesYaddaşdaPaketləməGöndərməEndirməÇıxarmaEndirirEndirməEndirməÇıxarmaİşə salmaSaxta yoxlamasəhifəsiClickFixMübadilə buferinəkopyalanan komandaRun pəncərəsiWin + Rmshta.exeUzaq HTAPowerShellGizlədilmiş skriptUzaq serverdənendirməŞifrəli yükLumma StealerInfostealerMəlumat toplama25 hədəfLog arxiviC2 serveriSaxta GitHubrepozitoriyasıReleasesZIPArxivSmartLoaderLuaJIT skriptiLisenziyasızproqram saytıCrack, keygenSponsorluaxtarış reklamıPopulyar proqram adıZIPParollu arxivEXESetup.exeŞişirdilmiş ölçü
İcra edilə bilən yükFayl
Zərərli yükLumma Stealer · Infostealer

Lumma rusdilli forumlarda abunə ilə satılan, C dilində yazılmış infostealer-dir. Brauzer parollarını və kukilərini, kripto cüzdanları və ikifaktorlu autentifikasiya genişlənmələrini hədəf alır; əlavə yük endirib işə sala bilir.

Yer aldığı axınlar

Mühit məlumatları

  • Əməliyyat sistemi
  • Aparat
  • IP və yer
  • Quraşdırılmış proqramlar
  • İşləyən proseslər
  • Masaüstü faylları

Giriş və tətbiq məlumatları

  • Saxlanmış parollar
  • Sessiya kukiləri
  • Sessiya yeniləmə məlumatı
  • Avtomatik doldurma
  • Saxlanmış kartlar
  • 2FA toxumları
  • Discord
  • Steam
  • Telegram
  • Phantom
  • Mozilla Thunderbird
  • MetaMask
  • Authenticator
  • Coinbase Wallet
Dark Radar yoluxma qeydi
6.485.618
Son yoluxma qeydi
29 Oktyabr 2026
Zərərli proqram növü
Infostealer
İlk görülmə
Avqust 2022
01

Ümumi baxış

2023–2025-ci illərdə ən geniş yayılmış stealer ailəsi idi. Saxta CAPTCHA səhifələri ilə istifadəçiyə komanda yapışdırtdıran yayılma zənciri e-poçt təhlükəsizliyi qatlarını tamamilə keçir.

Dark Radar məlumatlarında 6.485.618 yoluxma qeydi ilə 52 ailə arasında 2-ci yerdədir.

Digər adları: LummaC2, LummaC2 Stealer

02

Mənşə və inkişaf

  1. Avqust 2022Forumlarda "Shamel" (ləqəbi "Lumma") tərəfindən satışa çıxarıldı.Malpedia (Fraunhofer FKIE)
  2. 2023Müddəti bitmiş Google sessiyalarını yenidən canlandırma funksiyasını elan etdi.Malpedia (Fraunhofer FKIE)
  3. 2024Saxta CAPTCHA və ClickFix yayılması geniş yayıldı.Varist
  4. May 2025Beynəlxalq əməliyyatla domenlərinə və panellərinə əl qoyuldu.Trend Micro
  5. 2025İnfrastruktur yenidən quruldu; brauzer barmaq izi toplama əlavə edildi.Trend Micro
  6. 202664 bitlik varisi olduğu qiymətləndirilən Remus meydana çıxdı.Gen Digital
03

Texniki profil

Zərərli proqram növüInfostealer
Hədəf əməliyyat sistemiWindows
Əsas məqsədKimlik və sessiya oğurluğu
Təhdid kateqoriyasıGiriş məlumatı oğurluğu
Proqramlaşdırma diliC
Yayılma modeliAbunə xidməti (MaaS)
İlk görülməAvqust 2022
İctimai mənbə etibarlılığıYüksək
04

Hədəf alınan tətbiqlər

25 tətbiq8 kateqoriya
05

Məlumat toplama

Giriş məlumatları

  • Brauzer parolları96,5%Təsdiqlənib
  • Sessiya kukiləri91%Təsdiqlənib
  • Müddəti bitmiş sessiyanı yeniləməBildirilib
  • Avtomatik doldurma56%Təsdiqlənib
  • macOS Açar Zənciri—
  • 2FA və parol menecerləriTəsdiqlənib

Maliyyə

  • Saxlanmış kartlar3,5%Təsdiqlənib
  • Masaüstü kripto cüzdanlarTəsdiqlənib
  • Cüzdan genişlənmələriTəsdiqlənib
  • Buferdəki ünvanın dəyişdirilməsi—

Tətbiqlər

  • E-poçt müştəriləriVersiyadan asılı
  • FTP müştəriləri—
  • VPN müştəriləri—
  • Mesajlaşma tətbiqləri34,5%Versiyadan asılı
  • Oyun platformaları30%Dark Radar müşahidəsi

Sistem

  • Fayl toplamaTəsdiqlənib
  • Ekran görüntüsü—
  • Sistem inventarı46,5%Təsdiqlənib

Davranış

  • Əlavə yük endirməTəsdiqlənib
  • Davamlılıq—
  • Analizdən yayınmaTəsdiqlənib
06

Fayl sistemi

İstifadəçi profili (%USERPROFILE%)
Fayl təfərrüatları Dark Radar Intelligence-dadırIntelligence-da aç
07

Sistem komponentləri

  • Quraşdırılmış proqramlar və proses siyahısı
  • Aparat kimliyi və ekran həlli
  • Brauzer barmaq izi (2025-dən sonra)
  • İstifadəçi və kompüter adı, dil ayarları
08

İş mexanizmi

  1. 1Yoluxma

    • Saxta CAPTCHA səhifəsi istifadəçiyə Win+R ilə komanda yapışdırtdırır (ClickFix).
    • Sponsorlu axtarış nəticələri və lisenziyasız proqram saytları.
    • Saxta GitHub repozitoriyaları və video təsvirlərindəki linklər.
    T1189Drive-by Compromise

    Qırılma nöqtəsi: E-poçt əlavələri, sponsorlu reklam linkləri və lisenziyasız proqram endirmələri e-poçt və veb şlüzündə bloklanır.

  2. 2İşə salma və gizlənmə

    • mshta və ya PowerShell ilə yaddaşda işləyən endirici zənciri.
    • Leqal proseslərə inyeksiya edilən yük.
    Dark Radar müşahidəsi

    Yük LocalAppData qovluğundan işə düşdü (son 200 log, 9,6%).

    Windows qovluğundakı install.exe faylından işlədi (son 200 log, 73,1%).

    Leqal MSBuild.exe prosesi daxilində işlədi (son 200 log, 5,8%).

    T1204.004User Execution: Malicious Copy and PasteT1059.001PowerShellT1055Process InjectionT1027Obfuscated Files or InformationT1497Virtualization/Sandbox Evasion

    Qırılma nöqtəsi: İstifadəçi qovluqlarından işləyən imzasız fayllar və .NET alətlərinə edilən inyeksiyalar tətbiq nəzarəti və EDR ilə dayandırılır.

  3. 3Kəşf

    • Sistem, aparat və dil məlumatı toplanır.
    • Virtual maşın və analiz mühiti yoxlaması aparılır.
    T1082System Information Discovery

    Qırılma nöqtəsi: Qısaömürlü prosesdən gələn toplu sistem və təhlükəsizlik proqramı sorğuları EDR xəbərdarlığı yaradır.

  4. 4Məlumat toplama

    • Brauzer verilənlər bazaları, cüzdan genişlənmələri və masaüstü cüzdanlar oxunur.
    • Paneldə müəyyən edilmiş genişlənmələrə görə fayllar toplanır.
    Dark Radar müşahidəsi

    Son 200 logda tapılan məlumatlar: parol faylı 96,5%, kuki 91%, avtomatik doldurma 56%, kart 3,5%, cüzdan 2%.

    T1555.003Credentials from Web BrowsersT1539Steal Web Session CookieT1555.005Password ManagersT1005Data from Local System

    Qırılma nöqtəsi: Brauzerdən kənar prosesin brauzer profil fayllarını oxuması bloklanır və ya xəbərdarlıq yaradır.

  5. 5Sızdırma və C2

    • Məlumatlar HTTP POST ilə C2 serverinə göndərilir.
    • C2 ünvanı Steam profili və ya Telegram kanalı kimi aralıq nöqtələrdən həll edilə bilər.
    T1071.001Web ProtocolsT1102.001Dead Drop ResolverT1105Ingress Tool TransferT1041Exfiltration Over C2 Channel

    Qırılma nöqtəsi: Yeni qeydiyyatdan keçmiş domenlərə, birbaşa IP ünvanlarına və qeyri-standart portlara gedən trafik bloklanır.

  6. 6Davamlılıq və sonrası

    • Paneldən əlavə EXE, DLL və ya PowerShell yükü endirilə bilər.

    Qırılma nöqtəsi: Yoluxma təsdiqləndikdə cihazdakı bütün sessiyalar və giriş tokenləri ləğv edilir.

09

Şəbəkə rabitəsi

Bu bölmə Dark Radar Intelligence-dadırIntelligence-da aç
10

MITRE ATT&CK

Execution
Initial Access
Defense Evasion
Credential Access
Discovery
Collection
Command and Control
Exfiltration
11

IOC və aşkarlama

Bu bölmə Dark Radar Intelligence-dadırIntelligence-da aç
12

Risk və təsir

  • Korporativ SSO kukiləri oğurlananda çoxfaktorlu autentifikasiya soruşulmadan sessiya açıla bilər.
  • 2FA genişlənməsinin toxumları oğurlanarsa, birdəfəlik kodlar hücumçunun cihazında yaradılır.
  • Oğurlanmış sessiya kukiləri parol və çoxfaktorlu autentifikasiya soruşulmadan bulud, e-poçt və SaaS sessiyalarını ələ keçirmək üçün kifayətdir.
  • Şəxsi cihazda saxlanmış korporativ parollar korporativ şəbəkədən kənar yoluxmalarla da sızır; bu loglar ilkin giriş brokerlərinə satılır.
  • Log arxivləri illərlə yenidən paylaşılır; parol dəyişdirilmədikcə eyni giriş məlumatı dəfələrlə istifadə edilə bilər.
  • Ələ keçirilmiş e-poçt, mesajlaşma və sosial media hesabları fişinqin və zərərli proqram yayılmasının növbəti halqasına çevrilir.
13

Müdafiə

  • Run pəncərəsinin istifadəsini məhdudlaşdırın və ya mshta-nı bloklayın.
  • Saxta CAPTCHA qəliblərinə qarşı veb filtr qaydaları tətbiq edin.
  • Yoluxma aşkar edildikdə yalnız parolu deyil, bütün əlaqəli sessiyaları və giriş tokenlərini ləğv edin.
  • Brauzerdə parol saxlamanı korporativ siyasətlə söndürün; korporativ parol menecerindən istifadə edin.
  • Fişinqə davamlı çoxfaktorlu autentifikasiyaya (FIDO2/passkey) keçin; sessiyaları cihaza bağlayın.
  • Lisenziyasız proqram, oyun hiyləsi və sponsorlu axtarış nəticələrindən endirilən quraşdırma fayllarını bloklayın.
  • İstifadəçinin Run pəncərəsinə və ya terminala yapışdıraraq komanda işlətdiyi axınları (ClickFix) son nöqtə qaydaları ilə izləyin.
  • Dark Radar ilə korporativ domenlərinizi və əməkdaş e-poçt ünvanlarınızı stealer loglarında davamlı izləyin.
14

Öyrənmə mərkəzi

Bu zərərli proqram necə yoluxur?
  • Saxta CAPTCHA səhifəsi istifadəçiyə Win+R ilə komanda yapışdırtdırır (ClickFix).
  • Sponsorlu axtarış nəticələri və lisenziyasız proqram saytları.
  • Saxta GitHub repozitoriyaları və video təsvirlərindəki linklər.
  • Yük LocalAppData qovluğundan işə düşdü (son 200 log, 9,6%).
Sistemdə mövcudluğu necə müəyyən edilir?
  • Hesablara tanınmayan ölkə və ya cihazdan sessiya açılması.
  • Dark Radar-da korporativ domeninizə və ya əməkdaş e-poçtunuza aid yeni infostealer logu.
Hansı Windows artefaktları araşdırılır?
  • Prefetch (C:\Windows\Prefetch) — qısaömürlü yükün işlədiyini göstərir.
  • Amcache.hve və ShimCache — işə salınan faylın yolu və heşi.
  • Endirilənlər qovluğu və Zone.Identifier axını — faylın hansı ünvandan endirildiyi.
  • Brauzer tarixçəsi — saxta endirmə səhifəsi və ya saxta CAPTCHA ünvanı.
  • RunMRU reyestr açarı — Run pəncərəsinə yapışdırılan komandalar.
  • %TEMP% və %LOCALAPPDATA% altındakı təsadüfi adlı qovluqlar və DLL-lər.
Hansı log qeydləri vacibdir?
  • Sysmon Hadisə 1 / Təhlükəsizlik 4688Proses yaradılması: Temp və Endirilənlər qovluğundan başlayan imzasız proseslər, mshta, powershell -enc zəncirləri.
  • Sysmon Olay 11 / 23Fayl yaradılması və silinməsi: özünü silən yüklər, Temp altına buraxılan DLL-lər.
  • Sysmon Olay 3 / 22Şəbəkə bağlantısı və DNS sorğusu: yeni qeydiyyatdan keçmiş domenlərə, Telegram, Steam və ya Pastebin vasitəsilə C2 həlli.
  • Obyektə giriş auditi (4663)Brauzer prosesindən kənar prosesin Login Data, Cookies və Local State fayllarını oxuması.
  • PowerShell 4104Skript bloku qeydi: gizlədilmiş endirici komandaları.
  • Kimlik provayderinin sessiya jurnallarıYoluxmadan sonra fərqli ölkə və cihazdan gələn, çoxfaktorlu autentifikasiya soruşulmayan sessiyalar.
Hansı MITRE texnikaları ilə əlaqəlidir?
T1204.004User Execution: Malicious Copy and PasteT1059.001PowerShellT1189Drive-by CompromiseT1055Process InjectionT1027Obfuscated Files or InformationT1497Virtualization/Sandbox EvasionT1555.003Credentials from Web BrowsersT1539Steal Web Session CookieT1555.005Password ManagersT1082System Information DiscoveryT1005Data from Local SystemT1071.001Web ProtocolsT1102.001Dead Drop ResolverT1105Ingress Tool TransferT1041Exfiltration Over C2 Channel
SOC analitiki necə müdaxilə etməlidir?
  1. Cihazı şəbəkədən ayırın; yaddaş və disk görüntüsünü almadan yenidən quraşdırmayın.
  2. Yoluxma tarixini müəyyən edin; həmin tarixdən sonra cihazda sessiya açılmış bütün hesabları siyahıya alın.
  3. Bu hesabların parollarını dəyişin, sessiyalarını və giriş tokenlərini ləğv edin, çoxfaktorlu autentifikasiya cihazlarını yenidən qeydiyyatdan keçirin.
  4. Kimlik provayderi və SaaS jurnallarında yoluxmadan sonrakı yeni ölkə, cihaz və token istifadələrini axtarın.
  5. Bərpa ifadəsi və ya cüzdan faylı üzə çıxıbsa, aktivləri yeni cüzdana köçürün.
  6. İlkin giriş yolunu (e-poçt, reklam, lisenziyasız proqram, saxta CAPTCHA) tapın və eyni yoldan istifadə edən digər istifadəçiləri yoxlayın.
  7. Cihazı təmiz görüntü ilə yenidən quraşdırın.
15

Mənbələr

Əlaqəli ailələr

RemusStealCVidarMüqayisə et

Əlaqəli terminlər

Stealer loquPanel icarəsiXidmət kimi zərərli proqramAntidetect brauzerHesabın ələ keçirilməsiİdarəetmə serveriMəlumat oğrusuAparat identifikatoru
Essential paketindən başlayaraq

Infostealer Detection

Şirkətinizin sızma səthini tək ekranda görün: neçə tapıntı, hansı şiddətdə, hansı domendə.

Məhsula baxPaketləri müqayisə edin