Lumma: Cyberkriminelle verbreiten Malware vermehrt via Youtube

Die Angreifer infiltrieren fremde Youtube-Konten, verbreiten darüber den Lumma-Stealer und sammeln damit anschließend weitere Zugangsdaten ein.

Artikel veröffentlicht am 9. Januar 2024, 13:07 Uhr, Marc Stöckel

Die Malware Lumma greift von infizierten Systemen sensible Nutzerdaten ab. (Bild: pixabay.com / madartzgraphics)

Sicherheitsforscher von Fortiguard Labs haben eine Malware-Kampagne aufgedeckt, bei der sich böswillige Akteure Zugriff auf bestehende Youtube-Konten verschaffen, um darüber eine Variante des Infostealers Lumma zu verbreiten. Die dafür genutzten Clips wurden wohl schon Anfang 2023 auf der Videoplattform hochgeladen – als Anleitungen für gecrackte Software mitsamt Download-Link.

Die Dateien auf der in den Videobeschreibungen verlinkten File-Sharing-Webseite würden aber regelmäßig aktualisiert, erklären die Forscher in ihrem Bericht. Steigende Download-Zahlen deuteten darauf hin, dass die Methode effektiv sei.

Die von den Forschern erfassten Telemetriedaten zeigen eine erhöhte Aktivität des Lumma-Stealers seit den vergangenen Weihnachtsfeiertagen. Auch in Deutschland scheint es einige Infektionsfälle zu geben, wenngleich konkrete Zahlen in der Darstellung von Fortiguard Labs nicht erkennbar sind.

Die URLs unter den Videos seien häufig durch Dienste wie TinyURL oder Cuttly gekürzt, erklären die Forscher. Cyberkriminelle greifen häufig auf gekürzte URLs zurück, um die tatsächlichen Link-Ziele zu verschleiern und die Erkennung fragwürdiger Webadressen vor dem Öffnen des Links zu erschweren. Angeboten wird im von Fortiguard Labs untersuchten Fall eine als gecrackte Software getarnte Zip-Datei, die einen Link zu einem via Github bereitgestellten Malware-Loader in Form einer .exe-Datei enthält.

Lumma greift sensible Nutzerdaten ab

Bei Lumma handelt es sich um eine Malware, die von infizierten Systemen sensible Informationen abgreift und an einen vom Angreifer kontrollierten Server übermittelt. Die Forscher beobachteten nach eigenen Angaben zuletzt mehr als ein Dutzend solcher Command-and-Control-Server. Die Schadsoftware sammle beispielsweise System- und Browserdaten sowie Zugangsdaten für Kryptowallets.

Der Lumma-Stealer sei in der Programmiersprache C geschrieben und werde seit 2022 im Darknet und in einem Telegram-Kanal beworben. Die Malware setze verschiedene Verschleierungstechniken ein, um sich der Erkennung und Analyse zu entziehen.

Zuletzt fiel Lumma vor allem dadurch auf, dass es sich um eine der ersten Malwares handelte, die die Fähigkeit besaß, unter Ausnutzung des undokumentierten Google-OAuth-Endpunktes Multilogin abgelaufene Sitzungscookies zu reaktivieren. Angreifer können sich damit einen dauerhaften Zugriff auf ein fremdes Google-Konto verschaffen, der selbst einen Passwort-Reset überdauert. Google sieht im Missbrauch des Multilogin-Endpunktes aber bisher offenbar kein Sicherheitsproblem.