Lumma Stealer
Qué es
Lumma Stealer es una familia de malware ladrón de información escrita en C que opera bajo el modelo de Malware como Servicio (MaaS). Los atacantes la utilizan para capturar datos sensibles de las víctimas, con un enfoque principal en carteras de criptomonedas y extensiones de autenticación de dos factores.
Cómo llega
Llega a las víctimas a través de ejecutables maliciosos disfrazados de contenido pirata, como copias falsas de películas. También se distribuye mediante un cargador no residente que puede entregar payloads adicionales en formatos EXE, DLL y PowerShell.
Qué hace una vez dentro
Una vez en el equipo, roba información sensible y la exfiltra a un servidor C2 mediante solicitudes HTTP POST. Además, cuenta con la capacidad de desplegar cargas útiles adicionales para expandir su presencia en el sistema.
A quién ataca
Ataca principalmente a sistemas operativos Windows.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Supply Chain Compromise | T1195 |
| Acceso inicial | Spearphishing Attachment | T1566.001 |
| Acceso inicial | Spearphishing Link | T1566.002 |
| Ejecución | PowerShell | T1059.001 |
| Ejecución | Python | T1059.006 |
| Ejecución | AutoHotKey & AutoIT | T1059.010 |
| Ejecución | User Execution | T1204 |
| Ejecución | Malicious File | T1204.002 |
| Persistencia | Browser Extensions | T1176.001 |
| Persistencia | Registry Run Keys / Startup Folder | T1547.001 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Encrypted/Encoded File | T1027.013 |
| Sigilo | Masquerade File Type | T1036.008 |
| Sigilo | Process Hollowing | T1055.012 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Sigilo | Mshta | T1218.005 |
| Sigilo | Electron Applications | T1218.015 |
| Sigilo | System Checks | T1497.001 |
| Sigilo | Hidden Window | T1564.003 |
| Sigilo | DLL | T1574.001 |
| Sigilo | Reflective Code Loading | T1620 |
| Sigilo | Debugger Evasion | T1622 |
| Debilitamiento de defensas | Code Signing | T1553.002 |
| Debilitamiento de defensas | Disable or Modify Tools | T1685 |
| Acceso a credenciales | Steal Web Session Cookie | T1539 |
| Acceso a credenciales | Credentials from Web Browsers | T1555.003 |
| Descubrimiento | System Information Discovery | T1082 |
| Descubrimiento | Browser Information Discovery | T1217 |
| Descubrimiento | Security Software Discovery | T1518.001 |
| Recolección | Local Data Staging | T1074.001 |
| Recolección | Screen Capture | T1113 |
| Recolección | Automated Collection | T1119 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Asymmetric Cryptography | T1573.002 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
Fuente: MITRE ATT&CK v20 (S1213).
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 8 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 17-oct-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
← Todo el catálogo de armamento