En massiv nätfiskekampanj använder falska CAPTCHA för att sprida Lumma Stealer-malware

Cyberkriminella intensifierar sitt spel med en ny storskalig nätfiskekampanj som levererar skadlig programvara Lumma Stealer genom falska CAPTCHA-bilder inbäddade i PDF-filer. Enligt Netskope Threat Labs har denna kampanj redan äventyrat över 7 000 användare i 1 150 organisationer, främst inriktad på teknik, finansiella tjänster och tillverkningssektorer i Nordamerika, Asien och södra Europa.

Forskare hittade 5 000 skadliga PDF-filer på 260 olika domäner, varav många tillhör Webflow, GoDaddy, Strikingly, Wix och Fastly. Angriparna använder SEO-manipulation för att lura offren att klicka på dessa dokument från sökmotorresultat, och i slutändan omdirigera dem till webbplatser som är utformade för att antingen stjäla kreditkortsuppgifter eller infektera deras system med Lumma Stealer malware.

Hur attacken fungerar

Angriparna distribuerar PDF-filer som innehåller falska CAPTCHA-bilder. Offer som klickar på dessa CAPTCHA:er omdirigeras till skadliga webbplatser där de antingen luras att ange känsliga ekonomiska detaljer eller infekteras med skadlig programvara genom en PowerShell-baserad attack.

Lumma Stealer-varianten i denna kampanj distribueras genom en ClickFix-teknik, som lurar användare att utföra ett MSHTA-kommando. Detta kommando kör ett dolt PowerShell-skript som laddar ner och installerar Lumma Stealer skadlig programvara på offrets system.

Nyckeltaktik som används i denna kampanj

• Förgiftning med sökmotoroptimering (SEO) – Skadliga PDF-filer laddas upp till onlinebibliotek och arkiv som PDFCOFFEE, PDF4PRO, PDFBean och Internet Archive, vilket gör att de visas i legitima sökresultat.
• Falsk CAPTCHA-verifiering – Offer som försöker "verifiera" sig själva genom att klicka på CAPTCHA utför omedvetet skadliga kommandon.
• MSHTA och PowerShell Exploits – Attacken kringgår säkerhetsförsvar med pålitliga Windows-verktyg för att köra skadlig programvara.
• Utbredd värdinfrastruktur – Phishing-PDF-filerna är spridda över hundratals domäner , vilket gör nedtagningsarbetet mer utmanande.

Lumma Stealer: A Dangerous Infostealer on the Rise

Lumma Stealer är ett Malware-as-a-Service-verktyg (MaaS) designat för att samla in känslig data från komprometterade Windows-maskiner. Det kan stjäla inloggningsuppgifter, webbläsarcookies, kryptoplånböcker och annan värdefull information.

Nyligen utökade Lumma-operatörerna sina möjligheter genom att integrera med GhostSocks, en Golang-baserad proxy-skadlig kod. Detta gör att hotaktörer kan utnyttja offrens internetanslutningar för att kringgå geografiska begränsningar och undvika ekonomiska säkerhetsåtgärder som upptäcker obehörig åtkomst.

Stulna referenser och data från Lumma-infektioner delas ofta på underjordiska forum som Leaky[.]pro, en relativt ny hackningsmarknad som dök upp i slutet av december 2024.

Andra hot som utnyttjar ClickFix-tekniken

Lumma Stealer är inte den enda skadliga programvaran som utnyttjar ClickFix-nätfisketekniker. Forskare från Zscaler ThreatLabz och eSentire har observerat liknande taktik som används för att distribuera:

• Vidar Stealer
• Atomic macOS Stealer (AMOS)
• Skadlig programvara med DeepSeek AI Chatbot-tema

Dessutom har Juniper Threat Labs upptäckt nätfiskeattacker med hjälp av Unicode-obfuskationsmetoder för att undvika upptäckt. Dessa attacker döljer binära värden inom Hangul-tecken (U+FFA0 och U+3164), vilket gör skadliga JavaScript-nyttolaster svårare för säkerhetsverktyg att upptäcka.

Hur du skyddar dig från Lumma Stealer och liknande attacker

Med tanke på den sofistikerade och omfattningen av denna kampanj bör organisationer och individer vidta omedelbara åtgärder för att förbättra sitt cybersäkerhetsförsvar.

• Undvik att klicka på misstänkta PDF-länkar – Var försiktig när du laddar ner PDF-filer från sökresultat, e-postbilagor eller okända källor.
• Verifiera CAPTCHA-sidor – Legitima CAPTCHA kräver inte nedladdning av filer eller körning av skript.
• Övervaka webbflödet och andra värdtjänster – Säkerhetsteam bör spåra skadlig användning av sina domäner och rapportera misstänkt innehåll.
• Begränsa utförande av PowerShell och MSHTA – Implementera grupprincipbegränsningar för att förhindra angripare från att missbruka Windows-verktyg för att köra skadlig kod.
• Utbilda anställda om nätfisketekniker – Utbilda personalen att känna igen falska CAPTCHA, SEO-baserat nätfiske och andra sociala ingenjörstaktiker.
• Implementera Advanced Threat Protection – Använd EDR-lösningar (endpoint detection and response) för att upptäcka PowerShell-missbruk, misstänkt webbtrafik och skadlig programvara från infostealer.

Slutliga tankar

Denna nätfiskekampanj belyser hur cyberbrottslingar utvecklar sina tekniker för att distribuera Lumma Stealer och annan skadlig programvara. Genom att använda falska CAPTCHA i PDF-filer, SEO-förgiftning och avancerade fördunklingsmetoder kan angripare framgångsrikt kringgå traditionella säkerhetsåtgärder.

Med tusentals användare som redan har komprometterats och taktiken för distribution av skadlig programvara utökas, måste företag vara vaksamma, utbilda anställda och implementera kraftfulla säkerhetsåtgärder för att försvara sig mot dessa föränderliga hot.