Aktif tehdit ailesiWindowsKimlik bilgisi hırsızlığı
Malware Intelligence

Lumma Stealer

Lumma, Rusça konuşulan forumlarda abonelikle satılan, C ile yazılmış bir infostealer’dır. Tarayıcı parolalarını ve çerezlerini, kripto cüzdanlarını ve iki aşamalı doğrulama eklentilerini hedefler; ek yük indirip çalıştırabilir.

Mayıs 2025’te Microsoft, Europol ve ABD Adalet Bakanlığı’nın ortak operasyonunda altyapısının büyük bölümüne el konuldu; kısa süre içinde yeniden yapılandı.

Aktivite haritası

Aktivite haritasıJavaScriptKullanıcı yapıştırırKomutAlt süreçBellektePaketlemeGönderimİndirmeÇıkarmaİndirirİndirmeİndirmeÇıkarmaÇalıştırmaSahte doğrulamasayfasıClickFixPanoyakopyalanan komutÇalıştır penceresiWin + Rmshta.exeUzak HTAPowerShellGizlenmiş betikUzak sunucudanindirmeŞifreli yükLumma StealerInfostealerVeri toplama25 hedefLog arşiviC2 sunucusuSahte GitHubdeposuReleasesZIPArşivSmartLoaderLuaJIT betiğiLisanssızyazılım sitesiCrack, keygenSponsorluarama reklamıPopüler yazılım adıZIPParolalı arşivEXESetup.exeŞişirilmiş boyut
Çalıştırılabilir yükDosya
Zararlı yükLumma Stealer · Infostealer

Lumma, Rusça konuşulan forumlarda abonelikle satılan, C ile yazılmış bir infostealer’dır. Tarayıcı parolalarını ve çerezlerini, kripto cüzdanlarını ve iki aşamalı doğrulama eklentilerini hedefler; ek yük indirip çalıştırabilir.

Yer aldığı akışlar

Ortam bilgileri

  • İşletim sistemi
  • Donanım
  • IP ve konum
  • Kurulu yazılımlar
  • Çalışan süreçler
  • Masaüstü dosyaları

Kimlik ve uygulama verileri

  • Kayıtlı parolalar
  • Oturum çerezleri
  • Oturum yenileme verisi
  • Otomatik doldurma
  • Kayıtlı kartlar
  • 2FA tohumları
  • Discord
  • Steam
  • Telegram
  • Phantom
  • Mozilla Thunderbird
  • MetaMask
  • Authenticator
  • Coinbase Wallet
Dark Radar bulaşma kaydı
6.485.618
Son bulaşma kaydı
29 Ekim 2026
Zararlı yazılım türü
Infostealer
İlk görülme
Ağustos 2022
01

Genel bakış

2023–2025 arasında en yaygın stealer ailesiydi. Sahte CAPTCHA sayfalarıyla kullanıcıya komut yapıştırtan dağıtım zinciri, e-posta güvenlik katmanlarını tamamen atlar.

Dark Radar verisinde 6.485.618 bulaşma kaydıyla 52 aile arasında 2. sırada.

Diğer adları: LummaC2, LummaC2 Stealer

02

Köken ve gelişim

  1. Ağustos 2022"Shamel" (takma adı "Lumma") tarafından forumlarda satışa çıkarıldı.Malpedia (Fraunhofer FKIE)
  2. 2023Süresi dolan Google oturumlarını yeniden canlandırma özelliğini duyurdu.Malpedia (Fraunhofer FKIE)
  3. 2024Sahte CAPTCHA ve ClickFix dağıtımı yaygınlaştı.Varist
  4. Mayıs 2025Uluslararası operasyonla alan adlarına ve panellerine el konuldu.Trend Micro
  5. 2025Altyapı yeniden kuruldu; tarayıcı parmak izi toplama eklendi.Trend Micro
  6. 202664 bit halefi olduğu değerlendirilen Remus ortaya çıktı.Gen Digital
03

Teknik profil

Zararlı yazılım türüInfostealer
Hedef işletim sistemiWindows
Birincil amaçKimlik ve oturum hırsızlığı
Tehdit kategorisiKimlik bilgisi hırsızlığı
Programlama diliC
Dağıtım modeliAbonelikli hizmet (MaaS)
İlk görülmeAğustos 2022
Kamu kaynağı güveniYüksek
04

Hedeflenen uygulamalar

25 uygulama8 kategori
05

Veri toplama

Kimlik bilgileri

  • Tarayıcı parolaları%96,5Doğrulandı
  • Oturum çerezleri%91Doğrulandı
  • Süresi dolan oturumu yenilemeBildirildi
  • Otomatik doldurma%56Doğrulandı
  • macOS Anahtar Zinciri—
  • 2FA ve parola yöneticileriDoğrulandı

Finansal

  • Kayıtlı kartlar%3,5Doğrulandı
  • Masaüstü kripto cüzdanlarıDoğrulandı
  • Cüzdan eklentileriDoğrulandı
  • Pano adresi değiştirme—

Uygulamalar

  • E-posta istemcileriSürüme bağlı
  • FTP istemcileri—
  • VPN istemcileri—
  • Mesajlaşma uygulamaları%34,5Sürüme bağlı
  • Oyun platformları%30Dark Radar gözlemi

Sistem

  • Dosya toplamaDoğrulandı
  • Ekran görüntüsü—
  • Sistem envanteri%46,5Doğrulandı

Davranış

  • Ek yük indirmeDoğrulandı
  • Kalıcılık—
  • Analizden kaçınmaDoğrulandı
06

Dosya sistemi

Kullanıcı profili (%USERPROFILE%)
Dosya ayrıntıları Dark Radar Intelligence'taIntelligence'ta aç
07

Sistem bileşenleri

  • Kurulu yazılımlar ve süreç listesi
  • Donanım kimliği ve ekran çözünürlüğü
  • Tarayıcı parmak izi (2025 sonrası)
  • Kullanıcı ve bilgisayar adı, dil ayarları
08

Çalışma mekanizması

  1. 1Bulaşma

    • Sahte CAPTCHA sayfası kullanıcıya Win+R ile komut yapıştırtır (ClickFix).
    • Sponsorlu arama sonuçları ve lisanssız yazılım siteleri.
    • Sahte GitHub depoları ve video açıklamalarındaki bağlantılar.
    T1189Drive-by Compromise

    Kırılma noktası: E-posta ekleri, sponsorlu reklam bağlantıları ve lisanssız yazılım indirmeleri e-posta ve web geçidinde engellenir.

  2. 2Çalıştırma ve gizlenme

    • mshta veya PowerShell ile bellekte çalışan indirici zinciri.
    • Meşru süreçlere enjekte edilen yük.
    Dark Radar gözlemi

    Yük localappdata klasöründen çalıştı (son 200 log, %9,6).

    Windows klasöründeki install.exe dosyasından çalıştı (son 200 log, %73,1).

    Meşru MSBuild.exe süreci içinde çalıştı (son 200 log, %5,8).

    T1204.004User Execution: Malicious Copy and PasteT1059.001PowerShellT1055Process InjectionT1027Obfuscated Files or InformationT1497Virtualization/Sandbox Evasion

    Kırılma noktası: Kullanıcı klasörlerinden çalışan imzasız dosyalar ve .NET araçlarına yapılan enjeksiyonlar uygulama denetimi ve EDR ile durdurulur.

  3. 3Keşif

    • Sistem, donanım ve dil bilgisi toplanır.
    • Sanal makine ve analiz ortamı kontrolü yapılır.
    T1082System Information Discovery

    Kırılma noktası: Kısa ömürlü bir süreçten gelen toplu sistem ve güvenlik yazılımı sorguları EDR alarmı üretir.

  4. 4Veri toplama

    • Tarayıcı veritabanları, cüzdan eklentileri ve masaüstü cüzdanlar okunur.
    • Panelde tanımlı uzantılara göre dosya toplanır.
    Dark Radar gözlemi

    Son 200 logda bulunan veriler: parola dosyası %96,5, çerez %91, otomatik doldurma %56, kart %3,5, cüzdan %2.

    T1555.003Credentials from Web BrowsersT1539Steal Web Session CookieT1555.005Password ManagersT1005Data from Local System

    Kırılma noktası: Tarayıcı dışındaki bir sürecin tarayıcı profil dosyalarını okuması engellenir veya alarm üretir.

  5. 5Sızdırma ve C2

    • Veriler HTTP POST ile C2 sunucusuna gönderilir.
    • C2 adresi Steam profili veya Telegram kanalı gibi ara noktalardan çözülebilir.
    T1071.001Web ProtocolsT1102.001Dead Drop ResolverT1105Ingress Tool TransferT1041Exfiltration Over C2 Channel

    Kırılma noktası: Yeni kaydedilmiş alan adlarına, doğrudan IP adreslerine ve standart dışı portlara giden trafik engellenir.

  6. 6Kalıcılık ve sonrası

    • Panelden ek EXE, DLL veya PowerShell yükü indirilebilir.

    Kırılma noktası: Bulaşma doğrulandığında cihazdaki tüm oturumlar ve erişim belirteçleri iptal edilir.

09

Ağ iletişimi

Bu bölüm Dark Radar Intelligence'taIntelligence'ta aç
10

MITRE ATT&CK

Execution
Initial Access
Defense Evasion
Credential Access
Discovery
Collection
Command and Control
Exfiltration
11

IOC ve tespit

Bu bölüm Dark Radar Intelligence'taIntelligence'ta aç
12

Risk ve etki

  • Kurumsal SSO çerezleri çalındığında çok aşamalı doğrulama sorulmadan oturum açılabilir.
  • 2FA eklentisi tohumları çalınırsa tek kullanımlık kodlar saldırganın cihazında üretilir.
  • Çalınan oturum çerezleri parola ve çok aşamalı doğrulama sorulmadan bulut, e-posta ve SaaS oturumlarının devralınmasına yeter.
  • Kişisel cihazda kayıtlı kurumsal parolalar, kurum ağı dışındaki bulaşmalarla da sızar; bu loglar ilk erişim komisyoncularına satılır.
  • Log arşivleri yıllarca yeniden paylaşılır; parola değişmedikçe aynı kimlik bilgisi tekrar tekrar kullanılabilir.
  • Ele geçirilen e-posta, mesajlaşma ve sosyal medya hesapları kimlik avının ve zararlı dağıtımının bir sonraki halkası olur.
13

Savunma

  • Çalıştır penceresinin kullanımını kısıtlayın veya mshta’yı engelleyin.
  • Sahte CAPTCHA kalıplarına karşı web filtresi kuralları uygulayın.
  • Bulaşma tespit edildiğinde yalnızca parolayı değil, ilgili tüm oturumları ve erişim belirteçlerini iptal edin.
  • Tarayıcıda parola kaydını kurumsal politika ile kapatın; kurumsal parola yöneticisi kullanın.
  • Kimlik avına dayanıklı çok aşamalı doğrulamaya (FIDO2/passkey) geçin; oturumları cihaza bağlayın.
  • Lisanssız yazılım, oyun hilesi ve sponsorlu arama sonuçlarından indirilen kurulum dosyalarını engelleyin.
  • Kullanıcının Çalıştır penceresine veya terminale yapıştırarak komut çalıştırdığı akışları (ClickFix) uç nokta kurallarıyla izleyin.
  • Dark Radar ile kurum alan adlarınızı ve çalışan e-postalarınızı stealer loglarında sürekli izleyin.
14

Öğrenme merkezi

Bu zararlı yazılım nasıl bulaşır?
  • Sahte CAPTCHA sayfası kullanıcıya Win+R ile komut yapıştırtır (ClickFix).
  • Sponsorlu arama sonuçları ve lisanssız yazılım siteleri.
  • Sahte GitHub depoları ve video açıklamalarındaki bağlantılar.
  • Yük localappdata klasöründen çalıştı (son 200 log, %9,6).
Bir sistemde varlığı nasıl anlaşılır?
  • Hesaplarda tanınmayan ülke veya cihazdan oturum açılması.
  • Dark Radar’da kurum alan adınıza veya çalışan e-postanıza ait yeni bir infostealer logu.
Hangi Windows artefaktları incelenir?
  • Prefetch (C:\Windows\Prefetch) — kısa ömürlü yükün çalıştığını gösterir.
  • Amcache.hve ve ShimCache — çalıştırılan dosyanın yolu ve özeti.
  • İndirilenler klasörü ve Zone.Identifier akışı — dosyanın hangi adresten indirildiği.
  • Tarayıcı geçmişi — sahte indirme sayfası veya sahte CAPTCHA adresi.
  • RunMRU kayıt anahtarı — Çalıştır penceresine yapıştırılan komutlar.
  • %TEMP% ve %LOCALAPPDATA% altındaki rastgele adlı klasörler ve DLL'ler.
Hangi log kayıtları önemlidir?
  • Sysmon Olay 1 / Güvenlik 4688Süreç oluşturma: Temp ve İndirilenler klasöründen başlayan imzasız süreçler, mshta, powershell -enc zincirleri.
  • Sysmon Olay 11 / 23Dosya oluşturma ve silme: kendini silen yükler, Temp altına bırakılan DLL'ler.
  • Sysmon Olay 3 / 22Ağ bağlantısı ve DNS sorgusu: yeni kaydedilmiş alan adlarına, Telegram, Steam veya Pastebin üzerinden C2 çözümleme.
  • Nesne erişimi denetimi (4663)Tarayıcı süreci dışındaki bir sürecin Login Data, Cookies ve Local State dosyalarını okuması.
  • PowerShell 4104Betik bloğu kaydı: gizlenmiş indirici komutları.
  • Kimlik sağlayıcı oturum günlükleriBulaşmadan sonra farklı ülke ve cihazdan gelen, çok aşamalı doğrulama sorulmayan oturumlar.
Hangi MITRE teknikleriyle ilişkilidir?
T1204.004User Execution: Malicious Copy and PasteT1059.001PowerShellT1189Drive-by CompromiseT1055Process InjectionT1027Obfuscated Files or InformationT1497Virtualization/Sandbox EvasionT1555.003Credentials from Web BrowsersT1539Steal Web Session CookieT1555.005Password ManagersT1082System Information DiscoveryT1005Data from Local SystemT1071.001Web ProtocolsT1102.001Dead Drop ResolverT1105Ingress Tool TransferT1041Exfiltration Over C2 Channel
Bir SOC analisti nasıl müdahale etmelidir?
  1. Cihazı ağdan ayırın; bellek ve disk imajını almadan yeniden kurmayın.
  2. Bulaşma tarihini belirleyin; o tarihten sonra cihazda oturum açılmış tüm hesapları listeleyin.
  3. Bu hesapların parolalarını değiştirin, oturumlarını ve erişim belirteçlerini iptal edin, çok aşamalı doğrulama cihazlarını yeniden kaydedin.
  4. Kimlik sağlayıcı ve SaaS günlüklerinde bulaşma sonrasındaki yeni ülke, cihaz ve belirteç kullanımlarını arayın.
  5. Kurtarma ifadesi veya cüzdan dosyası açığa çıktıysa varlıkları yeni bir cüzdana taşıyın.
  6. İlk erişim yolunu (e-posta, reklam, lisanssız yazılım, sahte CAPTCHA) bulun ve aynı yolu kullanan diğer kullanıcıları kontrol edin.
  7. Cihazı temiz bir imajla yeniden kurun.
15

Kaynaklar

İlişkili aileler

RemusStealCVidarKarşılaştır

İlgili terimler

Stealer loguPanel kiralamaHizmet olarak zararlı yazılımAntidetect tarayıcıHesap ele geçirmeKomuta ve kontrol sunucusuInfostealerDonanım kimliği
Essential paketinden itibaren

Infostealer Detection

Kurumunuzun sızıntı yüzeyini tek ekranda görün: kaç bulgu, hangi önem derecesinde, hangi alan adında.

Ürünü incelePaketleri karşılaştırın