Die Experten von Fortiguard Labs haben eine besorgniserregende Malware-Kampagne identifiziert. Hierbei missbrauchen schädliche Akteure bestehende YouTube-Konten, um die Infostealer-Variante Lumma zu verbreiten. Erkenntnisse zufolge wurden die betreffenden Videos bereits zu Beginn des Jahres 2023 auf der Plattform hochgeladen und enthielten Anweisungen sowie Links für gecrackte Software.
Laut dem Bericht der Forscher werden die Dateien, die in den Videobeschreibungen zu finden sind, regelmäßig aktualisiert. Ein signifikanter Anstieg der Download-Aktivitäten deutet darauf hin, dass die verwendete Methode erfolgreich ist. Telemetriedaten der Forscher offenbaren zudem eine gesteigerte Aktivität des Lumma-Stealers seit den letzten Weihnachtsfeiertagen. Auch in Deutschland scheinen einige Infektionen aufgetreten zu sein, wobei genaue Zahlen noch ausstehen.
Interessanterweise werden die URLs unter den infizierten Videos oft mit Diensten wie TinyURL oder Cuttly verkürzt. Dies dient der Verschleierung der eigentlichen Linkziele und erschwert die Erkennung potenziell schädlicher Webadressen. Im vorliegenden Fall boten die Cyberkriminellen eine als gecrackte Software getarnte Zip-Datei an, die einen Link zu einem Malware-Loader in Form einer .exe-Datei auf GitHub enthielt.
Lumma und seine gefährlichen Funktionen
Der Lumma-Stealer stellt eine ernsthafte Bedrohung dar, da er von infizierten Systemen wertvolle Informationen extrahiert und an einen Server des Angreifers sendet. Nach Angaben der Forscher wurden kürzlich über ein Dutzend dieser Command-and-Control-Server identifiziert. Die Malware ist in der Lage, Systeminformationen, Browserdaten sowie Zugangsdaten für Kryptowallets zu stehlen.
Programmiert in C, wird der Lumma-Stealer seit 2022 aktiv im Darknet und in spezialisierten Telegram-Kanälen beworben. Um seine Entdeckung zu verhindern, nutzt die Malware verschiedene Verschleierungstechniken. Bemerkenswert ist, dass Lumma zu den ersten Malwares zählte, die durch die Ausnutzung eines undokumentierten Google-OAuth-Endpunktes abgelaufene Sitzungscookies wiederherstellen konnte. Dies ermöglicht Angreifern einen dauerhaften Zugriff auf ein fremdes Google-Konto, selbst nach einem Passwort-Reset. Es scheint jedoch, dass Google dieses Problem noch nicht als ernsthaftes Sicherheitsrisiko betrachtet.