<div id="post_message_793015">

Правоохранители и ИБ-специалисты сообщили о захвате тысяч доменов и части инфраструктуры, связанной с инфостилером Lumma.<br/>
<br/>
13 мая 2025 года, после получения судебного постановления, компания Microsoft конфисковала около 2300 доменов, связанных с деятельностью Lumma.<br/>
<br/>
Одновременно с этим Министерство юстиции США наложило арест на пять доменов, связанных с панелями управления Lumma, а Европейский центр по борьбе с киберпреступностью (EC3) при Европоле и Японский центр по борьбе с киберпреступностью (JC3) помогли конфисковать инфраструктуру Lumma, расположенную в Европе и Японии.<br/>
<br/>
В скоординированной атаке на инфраструктуру Lumma участвовали компании <a href="https://blogs.microsoft.com/on-the-issues/2025/05/21/microsoft-leads-global-action-against-favored-cybercrime-tool/" target="_blank">Microsoft</a>, <a href="https://cloudflare.com/threat-intelligence/research/report/cloudflare-participates-in-joint-operation-to-disrupt-lumma-stealer/" target="_blank">Cloudflare</a>, <a href="https://www.welivesecurity.com/en/eset-research/eset-takes-part-global-operation-disrupt-lumma-stealer" target="_blank">ESET</a>, <a href="https://cleandns.com/battling-lumma-stealer-malware/" target="_blank">CleanDNS</a>, <a href="https://www.bitsight.com/blog/lumma-stealer-is-out-of-business" target="_blank">Bitsight</a>, <a href="https://www.lumen.com/en-us/solutions/connected-security.html" target="_blank">Lumen</a>, <a href="https://www.gmoregistry.com/en/" target="_blank">GMO </a><a href="https://www.gmoregistry.com/en/" target="_blank">Registry </a>и международная юридическая фирма Orrick.<br/>
<br/>
<div style="margin:20px; margin-top:5px; ">
<!-- <div class="smallfont" style="margin-bottom:2px">Quote:</div> -->
<table border="0" cellpadding="6" cellspacing="0" width="100%">
<tr>
<td class="alt2" style="background: rgb(37, 37, 37) none repeat scroll 0% 0%; border: 1px solid rgb(0, 0, 0); border-radius: 5px; font-size: 11px; text-shadow: none;">
<font size="3">«В период с 16 марта 2025 года по 16 мая 2025 года Microsoft выявила более 394 000 компьютеров под управлением Windows по всему миру, зараженных вредоносной программой Lumma. Работая с правоохранительными органами и отраслевыми партнерами, мы прервали связь между вредоносным инструментом и его жертвами», — <a href="https://blogs.microsoft.com/on-the-issues/2025/05/21/microsoft-leads-global-action-against-favored-cybercrime-tool/" target="_blank">заявил </a>Стивен Масада (Steven Masada), помощник главного юрисконсульта подразделения Microsoft по борьбе с цифровыми преступлениями.</font>
</td>
</tr>
</table>
</div>Подчеркивается, что более чем для 1300 доменов, конфискованных или переданных Microsoft, будет осуществлен sinkhole. Это позволит специалистам компании собрать и предоставлять полезную информацию партнерам из государственного и частного секторов. В дальнейшем это должно облегчить работу по отслеживанию, расследованию и устранению этой угрозы.<br/>
<br/>
Также сообщается, что эти действия призваны замедлить скорость, с которой злоумышленники реализуют атаки, свести к минимуму эффективность их кампаний и помешать получению незаконной прибыли, сократив доходы хакеров.<br/>
<br/>
<div style="margin:20px; margin-top:5px; ">
<!-- <div class="smallfont" style="margin-bottom:2px">Quote:</div> -->
<table border="0" cellpadding="6" cellspacing="0" width="100%">
<tr>
<td class="alt2" style="background: rgb(37, 37, 37) none repeat scroll 0% 0%; border: 1px solid rgb(0, 0, 0); border-radius: 5px; font-size: 11px; text-shadow: none;">
<font size="3">«Благодаря усилиям по пресечению деятельности стилера Lumma, его операторы лишаются доступа к своей панели управления, торговой площадке для похищенных данных, а также к интернет-инфраструктуре, использовавшейся для сбора данных и управления ими. Эти действия влекут за собой операционные и финансовые издержки как для операторов Lumma, так и для их клиентов, вынуждая их заново выстраивать свои сервисы на альтернативной инфраструктуре», — <a href="https://cloudflare.com/threat-intelligence/research/report/cloudflare-participates-in-joint-operation-to-disrupt-lumma-stealer/" target="_blank">добавляют </a>специалисты компании Cloudflare.</font>
</td>
</tr>
</table>
</div>В Cloudflare утверждают, что операторы Lumma злоупотребляли сервисами компании, чтобы скрыть IP-адреса своих серверов, которые использовались для сбора украденных учетных данных и другой информации.<br/>
<br/>
Отмечается, что даже после блокировки доменов, использовавшихся преступниками, малварь обходила страницу предупреждения Cloudflare, и компания была вынуждена принять дополнительные меры для блокировки хищения данных.<br/>
<br/>
<div style="margin:20px; margin-top:5px; ">
<!-- <div class="smallfont" style="margin-bottom:2px">Quote:</div> -->
<table border="0" cellpadding="6" cellspacing="0" width="100%">
<tr>
<td class="alt2" style="background: rgb(37, 37, 37) none repeat scroll 0% 0%; border: 1px solid rgb(0, 0, 0); border-radius: 5px; font-size: 11px; text-shadow: none;">
<font size="3">«Команда Cloudflare по обеспечению доверия и безопасности неоднократно обнаруживала домены, используемые преступниками, и приостанавливала действие их учетных записей, — рассказывают в Cloudflare. — В феврале 2025 года было замечено, что вредоносное ПО Lumma обходит промежуточную страницу с предупреждением от Cloudflare, то есть одну из мер, которые мы применяем для пресечения действий злоумышленников. В ответ на это Cloudflare добавила сервис Turnstile на страницу предупреждений, чтобы вредоносное ПО не могло ее обходить».</font>
</td>
</tr>
</table>
</div>Напомним, что стилер Lumma появился в 2022 году и предназначен для кражи данных из систем под управлением Windows и macOS. Злоумышленники могут арендовать эту малварь по подписке, по цене от 250 до 1000 долларов США.<br/>
<br/>
<img alt="" border="0" class="bbCodeImage" src="https://xakep.ru/wp-content/uploads/2025/05/512916/Lumma_malware_infections_heat_ma.jpg"/><br/>
<div style="margin:20px; margin-top:5px; ">
<!-- <div class="smallfont" style="margin-bottom:2px">Quote:</div> -->
<table border="0" cellpadding="6" cellspacing="0" width="100%">
<tr>
<td class="alt2" style="background: rgb(37, 37, 37) none repeat scroll 0% 0%; border: 1px solid rgb(0, 0, 0); border-radius: 5px; font-size: 11px; text-shadow: none;">

Карта распространения Lumma на Windows-девайсах (Microsoft)

</td>
</tr>
</table>
</div>Проникнув в систему, Lumma может похищать данные из браузеров (Google Chrome, Microsoft Edge, Mozilla Firefox и других Chromium-браузеров) и приложений, включая криптовалютные кошельки и файлы cookie, учетные данные, пароли, данные банковских карт и историю браузинга.<br/>
<br/>
Украденные данные собираются в архив и передаются на подконтрольные злоумышленникам серверы, а хакеры продают эту информацию другим преступникам или сами используют в дальнейших атаках.<br/>
<br/>
В рамках операции, направленной против инфраструктуры Lumma, ФБР и CISA выпустили <a href="https://www.ic3.gov/CSA/2025/250521-2.pdf" target="_blank">совместный бюллетень</a> с подробной информацией об индикаторах компрометации и известных тактиках злоумышленников, использующих стилер в своих атаках.<br/>
<br/>
<a href="https://xakep.ru/2025/05/22/antilumma-operation/" target="_blank">@ xakep.ru</a>
</div>