Enorme phishingcampagne gebruikt nep-CAPTCHA's om Lumma Stealer-malware te verspreiden

Cybercriminelen gaan nog een stapje verder met een nieuwe grootschalige phishingcampagne die de Lumma Stealer-malware levert via nep-CAPTCHA-afbeeldingen die in PDF-bestanden zijn ingebed. Volgens Netskope Threat Labs heeft deze campagne al meer dan 7.000 gebruikers in 1.150 organisaties gecompromitteerd, met name gericht op de sectoren technologie, financiële dienstverlening en productie in Noord-Amerika, Azië en Zuid-Europa.

Onderzoekers vonden 5.000 kwaadaardige PDF's die op 260 verschillende domeinen werden gehost, waarvan er veel toebehoorden aan Webflow, GoDaddy, Strikingly, Wix en Fastly. De aanvallers gebruiken SEO-manipulatie om slachtoffers te misleiden zodat ze op deze documenten klikken vanuit de zoekresultaten van zoekmachines, en ze uiteindelijk doorsturen naar sites die zijn ontworpen om creditcardgegevens te stelen of hun systemen te infecteren met Lumma Stealer-malware.

Hoe de aanval werkt

De aanvallers verspreiden PDF-bestanden die nep-CAPTCHA-afbeeldingen bevatten. Slachtoffers die op deze CAPTCHA's klikken, worden omgeleid naar kwaadaardige websites waar ze ofwel worden misleid om gevoelige financiële gegevens in te voeren, ofwel worden geïnfecteerd met malware via een PowerShell-aanval.

De Lumma Stealer-variant in deze campagne wordt ingezet via een ClickFix-techniek, die gebruikers ertoe verleidt een MSHTA-opdracht uit te voeren. Deze opdracht voert een verborgen PowerShell-script uit dat de Lumma Stealer-malware downloadt en installeert op het systeem van het slachtoffer.

Belangrijkste tactieken die in deze campagne worden gebruikt

• Vergiftiging door zoekmachineoptimalisatie (SEO) – Kwaadaardige PDF's worden geüpload naar online bibliotheken en opslagplaatsen zoals PDFCOFFEE, PDF4PRO, PDFBean en Internet Archive, waardoor ze in legitieme zoekresultaten verschijnen.
• Valse CAPTCHA-verificatie – Slachtoffers die zichzelf proberen te 'verifiëren' door op de CAPTCHA te klikken, voeren onbewust schadelijke opdrachten uit.
• MSHTA- en PowerShell-exploits : de aanval omzeilt de beveiligingsmaatregelen door gebruik te maken van vertrouwde Windows-hulpprogramma's om malware uit te voeren.
• Widespread Hosting Infrastructure – De phishing-PDF's zijn verspreid over honderden domeinen , waardoor verwijderingspogingen moeilijker worden.

Lumma Stealer: een gevaarlijke infostealer in opkomst

Lumma Stealer is een Malware-as-a-Service (MaaS) tool die is ontworpen om gevoelige data te verzamelen van gecompromitteerde Windows machines. Het kan login credentials, browser cookies, crypto wallets en andere waardevolle informatie stelen.

Onlangs hebben Lumma-operators hun mogelijkheden uitgebreid door te integreren met GhostSocks, een op Golang gebaseerde proxy-malware. Hierdoor kunnen dreigingsactoren de internetverbindingen van slachtoffers gebruiken om geografische beperkingen te omzeilen en financiële beveiligingsmaatregelen te ontwijken die ongeautoriseerde toegang detecteren.

Gestolen inloggegevens en gegevens van Lumma-infecties worden vaak gedeeld op ondergrondse forums zoals Leaky[.]pro, een relatief nieuwe hackersmarktplaats die eind december 2024 is ontstaan.

Andere bedreigingen die gebruikmaken van de ClickFix-techniek

Lumma Stealer is niet de enige malware die ClickFix-phishingtechnieken misbruikt. Onderzoekers van Zscaler ThreatLabz en eSentire hebben vergelijkbare tactieken waargenomen die worden gebruikt om het volgende te verspreiden:

• Vidar-dief
• Atomic macOS-stealer (AMOS)
• DeepSeek AI Chatbot-thema malware

Bovendien heeft Juniper Threat Labs phishingaanvallen ontdekt die gebruikmaken van Unicode-obfuscationmethoden om detectie te omzeilen. Deze aanvallen verbergen binaire waarden in Hangul-tekens (U+FFA0 en U+3164), waardoor kwaadaardige JavaScript-payloads moeilijker te detecteren zijn voor beveiligingstools.

Hoe u zichzelf kunt beschermen tegen Lumma Stealer en soortgelijke aanvallen

Gezien de complexiteit en omvang van deze campagne moeten organisaties en individuen onmiddellijk actie ondernemen om hun cyberbeveiliging te verbeteren.

• Klik niet op verdachte PDF-links – Wees voorzichtig bij het downloaden van PDF's via zoekresultaten, e-mailbijlagen of onbekende bronnen.
• Controleer CAPTCHA-pagina's – Voor legitieme CAPTCHA's hoeft u geen bestanden te downloaden of scripts uit te voeren.
• Controleer Webflow en andere hostingdiensten – Beveiligingsteams moeten kwaadaardig gebruik van hun domeinen in de gaten houden en verdachte inhoud melden.
• Beperk de uitvoering van PowerShell en MSHTA – Implementeer beperkingen in groepsbeleid om te voorkomen dat aanvallers Windows-hulpprogramma's misbruiken om schadelijke code uit te voeren.
• Informeer medewerkers over phishingtechnieken – Train medewerkers om valse CAPTCHA's, SEO-gebaseerde phishing en andere social engineering-tactieken te herkennen.
• Implementeer geavanceerde bescherming tegen bedreigingen – Gebruik EDR-oplossingen (Endpoint Detection and Response) om misbruik van PowerShell, verdacht webverkeer en infostealer-malware te detecteren.

Laatste gedachten

Deze phishingcampagne benadrukt hoe cybercriminelen hun technieken ontwikkelen om Lumma Stealer en andere malware te verspreiden. Door nep-CAPTCHA's in PDF's, SEO-vergiftiging en geavanceerde verduisteringsmethoden te gebruiken, omzeilen aanvallers met succes traditionele beveiligingsmaatregelen.

Omdat duizenden gebruikers al zijn gecompromitteerd en de verspreiding van malware steeds verder toeneemt, moeten bedrijven waakzaam blijven, hun werknemers voorlichten en krachtige beveiligingsmaatregelen implementeren om zich te verdedigen tegen deze evoluerende bedreigingen.