Microsoft e partner internazionali colpiscono il network Lumma,il malware-as-a-service usato per furti di dati e ransomware
una vasta alleanza di aziende tecnologiche e forze dell’ordine,guidata dall’unità specializzata di Microsoft contro i crimini digitali,ha portato a termine un’operazione decisiva contro Lumma Stealer,un malware-as-a-service (MaaS) che ha alimentato molteplici gruppi criminali informatici,inclusi pericolosi team di ransomware.
Grazie a un ordine del tribunale distrettuale degli Stati Uniti nel distretto settentrionale della Georgia, Microsoft e i suoi alleati hanno confiscato circa 2.300 domini maligni che costituivano il cuore pulsante dell’infrastruttura Lumma.
Un malware versatile per rubare dati sensibili
Come spiega Steven Masada, consulente legale dell’unità Digital Crimes Unit di microsoft, Lumma estrae password, carte di credito, dati bancari e portafogli di criptovalute, consentendo agli hacker di estorcere scuole, svuotare conti correnti e paralizzare servizi essenziali.
Parallelamente, il Dipartimento di Giustizia statunitense ha sequestrato i server principali e i marketplace sotterranei dove veniva venduto l’accesso al sistema, mentre Europol e l’agenzia giapponese per il contrasto al cybercrime hanno smantellato le infrastrutture ospitate localmente.
«Questa operazione dimostra come la collaborazione tra pubblico e privato stia cambiando il volto della lotta al crimine informatico.L’unione tra l’esperienza tecnica di Microsoft e la capacità di coordinamento di Europol ha spezzato un’enorme rete criminale», ha commentato Edvardas Šileris di Europol.
Il peso dell’azione: quasi 400.000 computer liberati dal malware
Durante due mesi di indagini, Microsoft ha rilevato oltre 394.000 PC Windows infettati da Lumma, ora “liberati” grazie alla disconnessione tra malware e vittime. Circa 1.300 domini, di cui 300 rilevati da Europol, sono stati riconvertiti in sinkhole gestiti da Microsoft, impedendo il traffico dannoso e offrendo dati preziosi per contrastare i futuri attacchi.
Secondo Masada, l’obiettivo dell’intervento non è solo bloccare il malware, ma rallentare l’attività dei criminali informatici, ridurre l’efficacia delle loro campagne e tagliare una fonte rilevante di guadagni illeciti.
Lumma, un malware camaleontico sempre in evoluzione
Nato circa tre anni fa e sviluppato ininterrottamente, il Lumma Stealer arriva dalla Russia e viene gestito da uno sviluppatore noto come “Shamel”. Offre un servizio a più livelli, con prezzi che partono da 250 dollari fino a 20.000 per ottenere il codice sorgente completo, inclusi plugin e diritti di rivendita.
Nel 2023, lo stesso “Shamel” dichiarava circa 400 utenti attivi del malware.Lumma si diffonde tramite campagne di phishing e malvertising, mimetizzandosi da marchi di fiducia come Microsoft, e in molti casi diventa uno strumento privilegiato di bande criminali di spicco per riesumare dati e orchestrare attacchi aggressivi.
Tra i clienti noti figura anche il gruppo ransomware Scattered Spider, sospettato dell’attacco ai danni della catena Marks & Spencer, anche se non esistono conferme ufficiali sul suo utilizzo in quel caso.
Il punto di vista di Cloudflare sulla minaccia Lumma
Blake Darché, responsabile di Cloudforce One di Cloudflare, partner chiave nella repressione dell’attività, sottolinea come Lumma agisca sui browser web per rubare ogni informazione che possa aprire conti o portafogli di denaro, senza risparmiare nessun tipo di vittima.
“Gli autori di questo malware colpiscono centinaia di persone al giorno, prelevando tutto ciò che trovano. Questo blitz ha rallentato la loro attività di giorni,eliminando decine di domini e bloccando i flussi di denaro derivanti dalle frodi informatiche”,spiega Darché.
Tuttavia, come ogni operazione contro la criminalità digitale, anche questa sarà solo una battuta d’arresto temporanea: i malintenzionati dietro Lumma sono destinati a cambiare strategie e riorganizzarsi.
