Як працює Lumma Stealer (шкідливе ПЗ)

Привіт, друзі! сьогодні я вам розпомів, як працює Lumma Stealer, приємного читання!

До речі, якщо ви хочете мене підтримати і вам цікава тема вірусів та їх розбір, то тоді переходьте на мій проєкт за посиланням, яке я залишив нижче, і поставте туди зірочку!

1. Проникнення в систему

• Фішинг: відправляє листи на ел.пошту зі шкідливими вкладеннями (наприклад, найчастіший вид — подвійне розширення, text.pdf.exe і так далі)
• Зламане ПЗ: роздачі кряків, читів та піратських активаторів на торрент (наприклад, Igruha)
• Malvertising (шкідлива інтернет-реклама): підроблені сайти в пошуковій видачі Google, що імітують легальний софт (Zoom, WinRAR)

2. Запуск та обхід захисту

• Динамічне зашифроване скачування: Основне тіло вірусу часто завантажує у зашифрованому вигляді через легітимні сервери (GitHub, Discord тощо)
• Антианаліз: Lumma Stealer перевіряє, чи не запущений він у віртуальній машині чи середовищі аналізу, якщо він бачить, що він запущений у віртуальному середовищі — або він самоліквідується, або він засинає (затримка виконання, перевірка імені процесора та дисків)
• Захист коду: Код вірусу сильно заплутаний, і використовує шифрування рядків, щоб ускладнити статистичне аналізування

3. Збір конфіденційних даних

• Браузери: Краде збережені паролі, сесійні cookies, автозаповнення та історію
• Криптогаманці: Сканує розширення браузерів та файли на диску на наявність приватних ключів, сід-фраз та файлів гаманців
• Десктопні програми: Націлений на файли сесій Telegram, Discord
• Системні дані: Збирає інформацію про залізо, IP-адресу, геолокацію, операційну систему і робить скріншот екрану

4. Самоліквідація

Після успішного відправлення вкрадених даних Lumma Stealer зазвичай видаляє свої сліди та виконуваний файл із системи, щоб користувач та антивіруси не встигли зафіксувати зараження

5.Надсилання даних на C2-сервер

• Архівація: Усі зібрані файли упаковуються в один чи кілька стислих архівів.
• Шифрування: Дані шифруються (часто використовується кастомний XOR або алгоритми AES)
• Передача: Архів відправляється на командний сервер зловмисників

А що ви думаєте з цього приводу? Пишіть у коментарях! Підтримайте зірочкою! Malware-Encyclopedia

Посилання на онлайн сайт, де 70 антивірусів можуть перевіряти файл (до 650 мб) — virustotal.com

Посилання на онлайн сайт, який перевіряє URL(безкоштовно 5000 питань) URLScan

Важливе зауваження (Дисклеймер): Цей матеріал підготовлено виключно в ознайомлювальних, інформаційних та освітніх цілях у сфері аналізу шкідливого програмного забезпечення (Malware Analysis). Автор публікації категорично засуджує будь-які прояви кіберзлочинності, а також створення, модифікацію, поширення або використання шкідливого ПЗ (шпигунських програм, стілерів, троянів тощо).

Уся наведена інформація, включаючи опис алгоритмів роботи та методів обходу захисту, надана виключно з метою підвищення загальної обізнаності користувачів, системних адміністраторів та фахівців з AppSec/інформаційної безпеки для побудови ефективного захисту від актуальних загроз.

Автор не закликає до дій, що порушують законодавство, і повністю знімає з себе будь-яку відповідальність за можливі прямі чи непрямі збитки, а також за будь-які неправомірні чи протиправні дії, вчинені третіми особами з використанням матеріалів або даних, опублікованих у цій статті. Користуючись цією інформацією, ви дієте виключно на власний розсуд та під власну відповідальність.