Mobile-Menu

Malware-as-a-Service am Wendepunkt So gefährlich ist LummaStealer heute

Ein Gastbeitrag von Patrick Buchholz 5 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FTAPI Software GmbH

Mit wenigen Klicks zum Hacker? LummaStealer, eine neue Malware-as-a-Service, ermöglicht es, Bankdaten, Passwörter und Krypto-Wallets zu stehlen – und das ohne tiefgreifende Kenntnisse. Zuletzt nutzten Angreifer unter anderem die CrowdStrike-Störung 2024 und gefälschte CAPTCHA-Seiten zur Verbreitung ihrer Schadcodes. Die Folge: Datendiebstahl im großen Stil. Für Unternehmen heißt es jetzt handeln!

LummaStealer zeigt: Cyberkriminalität hat dank Malware-as-a-Service (MaaS) das Potenzial, zum Geschäft für jedermann zu werden.(Bild: peterschreiber.media - stock.adobe.com)
LummaStealer zeigt: Cyberkriminalität hat dank Malware-as-a-Service (MaaS) das Potenzial, zum Geschäft für jedermann zu werden.
(Bild: peterschreiber.media - stock.adobe.com)

Software-as-a-Service-Angebote (SaaS) bieten Unternehmen gut skalierbare Software-Ressourcen auf Abonnementbasis, die von überall zugänglich sind und automatisch aktualisiert werden – und sind damit eine attraktive Alternative zu aufwändigen Lokallösungen. Aber auch Malware-Entwickler haben SaaS für sich entdeckt. Sie stellen potenziellen Angreifern Malware-as-a-Service (MaaS) zur Verfügung. Wie SaaS ist MaaS in der Regel auf Abonnementbasis zu haben, seine Nutzer erhalten Zugang zu einer kompletten Suite an bösartigen Fähigkeiten. Je nach Angebot sind komplexe, modulare Nutzlasten oder erste Zugangsvektoren bis hin zu einer Befehls- und Kontrollinfrastruktur zur Verwaltung von Angriffen enthalten.

MaaS nehmen Angreifern einen Großteil des technischen Aufwands ab und senken die Hürde für Angriffe, indem sie die Durchführung erleichtern. Angreifer können sich so auf ihre operativen Ziele konzentrieren. Das Ergebnis: Für wenige hundert Euro im Monat kann heute nahezu jeder groß angelegte Angriffskampagnen starten – auch ohne tiefgehende technische Kenntnisse.

LummaStealer: Cyberkriminalität effizient, verfügbar und bezahlbar

LummaStealer ist eine vergleichsweise neue Schadsoftware für Windows-Systeme, die erstmals im Jahr 2022 entdeckt wurde. Die Malware gehört zu einer weit verbreiteten Kategorie von MaaS, den sogenannten Information Stealern, die darauf spezialisiert sind, sensible Daten wie Anmeldeinformationen, Cookies, Kreditkartennummern und Kryptowährungs-Wallets von infizierten Geräten zu stehlen. Ein Basiszugang ist schon ab knapp unter 250 Euro pro Monat zu haben.

Durch die Kombination aus breitem Funktionsspektrum und einfacher Verfügbarkeit stellt LummaStealer eine ernstzunehmende Bedrohung für unterschiedlichste Zielgruppen dar. Privatpersonen und Krypto-Nutzer, aber auch kleine und mittelständische Unternehmen zählen zu seinen bevorzugten Opfern. Sie werden vor allem durch Social-Engineering- und Masquerading-Taktiken wie Phishing-Mails, manipulierte Softwareversionen und andere schädliche Downloads mit der Malware infiziert.

Jüngste Berichte deuten darauf hin, dass cyberkriminelle Gruppen, möglicherweise unterstützt durch Russland oder China, den Stealer für gezielte Spionageattacken gegen nordamerikanische Logistik- und Transportunternehmen eingesetzt haben. Überwiegend steht die Malware jedoch im Zusammengang mit finanziell motivierten Angriffen. Daher müssen sich sowohl Endnutzer als auch Unternehmen zunehmend auf die wachsende und ausgeklügelte Bedrohung durch LummaStealer einstellen.

Einmal angeklickt – und dann? So arbeitet LummaStealer im Verborgenen

Sobald sich ein User LummaStealer unbemerkt eingefangen hat, beginnt die Malware eine System-Reconnaissance durchzuführen und sensible Informationen vom infizierten Gerät zu sammeln. Dabei arbeitet der Stealer unbemerkt im Hintergrund und umgeht gängige Antivirenprogramme. Anmeldeinformationen, Cookies und der Browserverlauf werden ebenso gestohlen wie Systeminformationen zu Hardware, Betriebssystemversion und IP-Adresse.

Die Daten werden verschlüsselt und anschließend über ein Command-and-Control-Netzwerk an die Server des Angreifers übermittelt. Besonders alarmierend ist, dass LummaStealer mittlerweile auch Persistenzmechanismen einsetzt. Während die Schadsoftware anfangs noch leicht außer Kraft gesetzt werden konnte, verfügt sie so mittlerweile über Methoden, um den Zugriff auf ein System auch nach dessen Neustart dauerhaft aufrechtzuerhalten.

So raffiniert setzen Angreifer Malware-as-a-Service ein

Das Security Services Team von Cybereason hat zuletzt eine Vielzahl von Angriffen mit LummaStealer identifiziert und ausgewertet. Wie geschickt die MaaS von Angreifern eingesetzt wird, zeigen besonders zwei Fälle.

Während der Ausfallzeit von CrowdStrike im Juli 2024 nutzten Angreifer die Verwirrung aus, um eine Phishing-Domain namens crowdstrike-office365[.]com zu erstellen. Über diese Domain verbreiteten sie bösartige MSI-Dateien, die angeblich als Updates für CrowdStrike Falcon-Sensoren dienen sollten, um Sensorprobleme zu beheben. Die MSI-Dateien waren jedoch getarnt und beinhalteten ein verschleiertes AutoIT-Skript. Dieses Skript erstellte eine verschlüsselte Version der LummaStealer-Payload, die dann auf dem infizierten Gerät ausgeführt werden konnte.

Auch CAPTCHA-Prüfungen wurden bereits mit der Hilfe von LummaStealer verfälscht. Dabei haben Angreifer eine "Human Verification"-HTML-Seite imitiert, damit Opfer Dateien von einer bösartigen Domain herunterladen. Die gefälschte Seite enthielt einen JavaScript-Code, der eine Funktion namens verify ausführte, die beim Klicken auf die „Ich bin kein Roboter“-Schaltfläche den PowerShell-Befehl automatisch in die Zwischenablage kopierte. Dieser PowerShell-Befehl führte dann den Download der LummaStealer-Payload von der Domain propller.b-cdn[.]net/propller durch.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

MaaS – Wie der Datendiebstahl nicht zum Totalschaden wird

Bleiben MaaS-Infektionen wie LummaStealer unbehandelt, stellen sie ein ernsthaftes Risiko für Einzelpersonen und Unternehmen dar und können zu erheblichen Datenverletzungen und -ausbeutung führen. Um sich sowohl vor Angriffen zu schützen als auch auf mögliche Infektionen angemessen zu reagieren, sollten folgende vier Maßnahmen ergriffen werden:

  • Aktualisierung und Patch-Management: Halten Sie alle Softwarekomponenten, insbesondere Betriebssysteme, Anwendungen und Sicherheitslösungen, stets auf dem neuesten Stand. Regelmäßige Updates schließen bekannte Sicherheitslücken und erschweren es Angreifern, bekannte Exploits auszunutzen.
  • Vorsicht bei E-Mail-Anhängen und Links: Seien Sie skeptisch gegenüber unerwarteten E-Mails, insbesondere wenn sie Anhänge oder Links enthalten. Phishing ist nach wie vor eine der häufigsten Methoden zur Verbreitung von Malware. Überprüfen Sie die Echtheit des Absenders und vermeiden Sie das Öffnen verdächtiger Inhalte.
  • Verwendung von fortschrittlicher Sicherheitssoftware: Jedes Unternehmen sollte renommierte Antiviren- und Anti-Malware-Programme mit Echtzeitschutz nutzen. Um sich jedoch wirklich erfolgreich gegen Malware-as-a-Service zu schützen, benötigt es etwas mehr. Umfassende Sicherheitslösungen wie die von Cybereason ermöglichen neben dem Verhindern der Ausführung schadhafter Dateien auch die Erkennung von Angreiferbewegungen im Netzwerk. Durch die Analyse und Korrelation von Endpunkt-Daten lassen sich verdächtige Aktivitäten frühzeitig erkennen, sodass Angriffe präventiv verhindert beziehungsweise im laufenden Prozess gestoppt werden können.
  • Sofortmaßnahmen bei Infektionsverdacht: Bei Verdacht einer System Kompromittierung muss durch sofortige Trennung vom Netzwerk die Ausbreitung der Malware verhindert werden. Führen Sie einen vollständigen Scan mit Ihrer Sicherheitssoftware durch und entfernen Sie erkannte Bedrohungen. Bei schwerwiegenden Fällen sollten Sie professionelle Hilfe in Anspruch nehmen oder das System auf einen vorherigen, sicheren Zustand zurücksetzen. Der Service von Cybereason bietet hier auch die Möglichkeit, die Shadow Copy-Erkennung zu aktivieren. So kann die Malware nicht unbemerkt Daten verschlüsseln oder überschreiben.

LummaStealer zeigt: Cyberkriminalität hat das Potenzial, zum Geschäft für jedermann zu werden. Mit perfiden Tricks können sich selbst wenig versierte Angreifer Zugriff auf sensiblen Daten verschaffen. Umso wichtiger ist es, Systeme zu schützen, wachsam zu bleiben und im Ernstfall schnell zu handeln, bevor der Datendiebstahl zum Totalschaden wird.

Über den Autor: Patrick Buchholz ist Corporate Account Manager bei Cybereason und hat technische Medienwissenschaft an der Humboldt-Universität Berlin studiert. Heute kombiniert er hochtechnologische Lösungen mit sozialer Verantwortung, um den Cyberraum vor Bedrohungen zu schützen. Er ist Co-Moderator des Podcasts 'Zerteilte Zukünfte', in dem er über Technologie, Kultur und Themen wie generative KI und Web3 spricht.

(ID:50405656)

Weiterführende Inhalte