2.300 Domains beschlagnahmt Microsoft zerschlägt Lumma Stealer

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Der Digital Crimes Unit ist ein riesiger Schlag gegen Lumma Stealer gelungen. Insgesamt wurden über 2.000 Domains des weltweit führenden Infostealer-Tools offline genommen und ihr Weiterverkauf gestört.

„Lumma Stealer Malware übernimmt Google-Konten“, „Lumma-Malware hat jetzt auch Python-Entwickler als Ziel“, „Lumma Stealer gehört zu den größten Malware-Bedrohungen in EMEA“ – dies waren nur einige der Schlagzeilen, die Security-Insider seit Dezember 2022 veröffentlicht hat. Dies war das Jahr in dem der Infostealer Lumma (auch bekannt als LummaC2) erstmals öffentlich aufgetaucht ist und seither sein Unwesen als Malware-as-a-Service (MaaS) treibt. Lumma gilt als besonders gefährlich, da sie als MaaS auch von Laien im Darknet gekauft und eingesetzt werden kann. Ihre Hauptaufgabe ist es, Informationen wie Zugangsdaten aus Browsern, Krypto-Wallets oder Anwendungen zu stehlen, sensible Daten wie Cookies, Autofill-Daten oder Kreditkarteninfos zu exfiltrieren sowie Sicherheitssoftware zu umgehen. Dazu kommt, dass die Malware schwer zu erkennen ist. Doch nun ist es Microsoft gelungen, die Infrastruktur hinter Lumma zu zerschlagen.

Malware-as-a-Service am Wendepunkt

So gefährlich ist LummaStealer heute

Microsoft klagt gegen Lumma Stealer

Zwischen dem 16. März und dem 16. Mai 2025 ist es Microsoft eigenen Angaben nach gelungen, weltweit über 394.000 Windows-Geräte zu identifizieren, die mit der Lumma-Malware infiziert waren. In enger Zusammenarbeit mit Strafverfolgungsbehörden und Partnern aus der Industrie sei es gelungen, die Kommunikation zwischen dem Schadprogramm und den betroffenen Systemen zu unterbinden. Am 13. Mai 2025 habe die Digital Crimes Unit (DCU) von Microsoft eine Klage gegen „Lumma Stealer“ eingereicht – und zwar erfolgreich. Es habe eine gerichtliche Anordnung des U.S. District Court für den Northern District of Georgia gefolgt, die es der DCU erlaubt habe, rund 2.300 schädliche Domains zu beschlagnahmen und still zu legen, die das Rückgrat der Lumma-Infrastruktur gewesen seien. Gleichzeitig habe das US-Justizministerium (Department of Justice, DOJ) das zentrale Kontrollsystem von Lumma außer Betrieb gesetzt und Marktplätze gestört, über die die MaaS an andere Cyberkriminelle verkauft worden sei. Das European Cybercrime Centre (EC3) von Europol sowie das japanische Cybercrime Control Center (JC3) seien ebenfalls an der Aktion beteiligt gewesen.

Ändern des Passworts reicht nicht!

Lumma Stealer Malware übernimmt Google-Konten

Darüber hinaus seien mehr als 1.300 von Microsoft beschlagnahmte oder an Microsoft übertragene Domains auf sogenannte Sinkholes des Herstellers umgeleitet worden. Dabei handelt es sich um DNS-Server, die so konfiguriert sind, dass sie den Datenverkehr für bestimmte Domänennamen auf einen kontrollierten Server oder eine nicht routbare IP-Adresse umleiten und so den Zugriff auf diese Domänen blockieren. Diese Umleitung habe es der DCU ermöglicht, wertvolle Informationen zu gewinnen, die Microsoft dabei helfen sollen, die Sicherheit seiner Dienste zu verbessern. Gleichzeitig will der Hersteller seine Erkenntnisse über Lumma an Partner aus dem öffentlichen und privaten Sektor weitergegeben, um laufende Ermittlungen zu unterstützen und die Bedrohung durch den Infostealer gezielt einzudämmen. Diese koordinierte Maßnahme soll die Geschwindigkeit, mit der Angriffe gestartet werden, verlangsamen, die Wirksamkeit krimineller Kampagnen reduzieren und die illegalen Einnahmen der Täter deutlich schmälern, indem sie nicht mehr auf den zentralen Teil ihrer Infrastruktur zugreifen können.

Redline-Infostealer verbreitet sich extrem schnell

Zunahme von Infostealer-Infektionen um fast 650 Prozent

Wer steckt hinter Lumma?

Lumma ist ein MaaS-Tool, das seit spätestens 2022 über Untergrundforen vermarktet und verkauft wird. Der Hauptentwickler von Lumma sitzt in Russland und tritt unter dem Internet-Alias „Shamel“ auf. Über Telegram und andere russischsprachige Chat-Foren vermarktet Shamel verschiedene Service-Pakete für Lumma. Je nach gebuchtem Leistungsumfang können Cyberkriminelle eigene Varianten der Malware erstellen, zusätzliche Werkzeuge zur Tarnung und Verbreitung integrieren und gestohlene Daten über ein Online-Portal nachverfolgen.

Eine neue Bedrohung für die Open-Source-Community

Lumma-Malware hat jetzt auch Python-Entwickler als Ziel

Mittlerweile steckt hinter Lumma eine ganze Community von Entwickler, die mehrere Versionen des Tools veröffentlicht haben, um ihre Fähigkeiten zu verbessern. So lässt sich Lumma leicht verbreiten, ist schwer zu erkennen, aber einfach zu konfigurieren, so dass bestimmte Sicherheitsmechanismen umgangen werden. So wurde die Malware in kurzer Zeit zu einem bevorzugten Werkzeug für Cyberkriminelle. Die Schadsoftware wird gerne verwendet, indem sie als vertrauenswürdige Marke verschleiert wird und über gezielte Spear-Phishing-E-Mails, schädliche Online-Werbung (Malvertising) und andere Angriffsvektoren verbreitet wird.

Darktrace Threat Report 2024

Malware-as-a-Service hoch im Kurs

Ist Lumma nun keine Gefahr mehr?

Die Zerschlagung der Lumma-Stealer-Infrastruktur durch Microsoft und internationale Strafverfolgungsbehörden im Mai 2025 war ein bedeutender Schritt im Kampf gegen Cyberkriminalität. Trotz dieses Erfolgs ist nicht klar, ob die Gefahr durch Lumma endgültig gebannt ist. Denn bereits infizierte Systeme könnten lokal gespeicherte Daten weiterhin exfiltrieren, wenn sie nicht bereinigt werden. Außerdem könnten Cyberkriminelle die zugrundeliegenden Techniken oder Teile des Codes in neuen Stealern wiederverwenden, entweder unter neuem Namen oder als Fork. Darüber hinaus zeigten bereits frühere Fälle wie bei Emotet oder QakBot, dass Malware-Familien auch nach Zerschlagungen wieder auftauchen können – mit neuen Servern, Domains oder durch Nachahmer.

Check Point „EMEA Threat Intelligence Report“

Mehr als 10 Millionen Anmeldedaten zum Kauf verfügbar

(ID:50435629)