Malgré la neutralisation de milliers de domaines de commande-et-contrôle (C2), le groupe est parvenu à survivre, à se réorganiser et à reconstruire rapidement son infrastructure. Il a également adapté ses techniques de diffusion et repris une distribution mondiale en s’appuyant notamment sur CastleLoader (un chargeur furtif capable de livrer des charges utiles en mémoire et de contourner la détection), mais aussi sur des techniques de faux CAPTCHA (« ClickFix ») et divers mécanismes d’ingénierie sociale. Ce retour souligne la résilience croissante des écosystèmes de malware-as-a-service.
Principaux enseignements de l’analyse :
LummaStealer a repris une activité à grande échelle moins d’un an après une opération de démantèlement menée par les forces de l’ordre.
Le malware repose principalement sur le social engineering, plutôt que sur l’exploitation de failles, pour infecter ses victimes.
Les attaques par faux CAPTCHA (« ClickFix ») sont désormais un point d’entrée privilégié.
CastleLoader joue un rôle central dans la diffusion, avec une exécution en mémoire (in-memory) et une capacité d’obfuscation élevée.
Des recoupements d’infrastructure relient CastleLoader et LummaStealer, suggérant des services partagés ou une coordination.
L’impact sur la vie privée des victimes ciblées est grave et durable : prise de contrôle de comptes, fraude financière, usurpation d’identité et extorsion.
Rapide historique : LummaStealer avait émergé sur des forums russophones fin 2022 et avait évolué pour devenir l’un des infostealers les plus prolifiques jusqu’à son apogée et avant son démantèlement en 2025. Il cible les systèmes Windows et peut collecter un large éventail de données sensibles, notamment des identifiants de navigateurs, des cookies de session, des portefeuilles de cryptomonnaies et même des jetons d’authentification à deux facteurs (2FA).
Dans le cadre de son modèle MaaS, les développeurs de Lumma louent le malware à un vaste réseau d’affiliés cybercriminels dans le monde entier. Cela a conduit à des centaines de milliers d’infections dans plusieurs secteurs, faisant de Lumma un facilitateur majeur de crimes secondaires : prise de contrôle de comptes et fraude financière.
