ESET s’est associé à Microsoft, BitSight, Lumen, Cloudflare, CleanDNS et GMO Registry pour mener une opération mondiale de démantèlement contre Lumma Stealer, un logiciel malveillant de type « Malware-as-a-Service » spécialisé dans le vol d’informations. Cette intervention coordonnée a visé l’infrastructure du botnet, notamment l’ensemble des serveurs de commande et contrôle identifiés durant l’année écoulée, paralysant ainsi ses activités. Tribune.
- ESET a participé à une intervention mondiale coordonnée visant à perturber Lumma Stealer.
- Microsoft a dirigé l’opération en s’attaquant à toute l’infrastructure du malware, notamment les serveurs C&C actifs durant l’année passée, paralysant ainsi le botnet.
- Lumma Stealer figure parmi les logiciels de vol de données les plus actifs ces deux dernières années.
- ESET a fourni des analyses techniques et statistiques détaillées en exploitant des dizaines de milliers d’échantillons, face à un malware en constante évolution et maintenu par ses développeurs.
« Les systèmes automatisés d’ESET ont traité des dizaines de milliers d’échantillons de Lumma Stealer, les disséquant pour en extraire des éléments clés, tels que des serveurs C&C et des identifiants d’affiliés. Cela nous a permis de surveiller en permanence l’activité de Lumma Stealer, de regrouper les affiliés, de suivre les mises à jour de développement. >>, explique Jakub Tomanek, chercheur chez ESET qui surveille ce malware. << Les familles de logiciels malveillants Infostealer, comme Lumma Stealer, sont les prémisses d’attaques plus dévastatrices. Les identifiants récoltés sont une donnée précieuse dans le monde de la cybercriminalité, vendus par des courtiers en accès initial à divers autres cybercriminels, y compris des affiliés de ransomware« , ajoute-t-il.
Lumma Stealer a été l’un des voleurs d’informations les plus actifs ces deux dernières années, touchant le monde entier. Ses développeurs maintenaient et amélioraient constamment le logiciel malveillant. ESET a régulièrement observé des mises à jour allant de corrections mineures à des modifications majeures du chiffrement et des protocoles réseau. Entre juin 2024 et mai 2025, l’entreprise a recensé 3 353 domaines C&C distincts, soit environ 74 nouveaux domaines par semaine, témoignant de l’ampleur de cette menace.
Lumma Stealer fonctionne selon un modèle d’abonnement où les affiliés paient entre 250 et 1000 dollars mensuels selon leur niveau d’accès, recevant en contrepartie les dernières versions du malware et l’infrastructure nécessaire. Les opérateurs ont également créé une plateforme Telegram avec système de notation permettant aux affiliés de vendre directement les données volées. Le malware se propage principalement via le phishing, les logiciels piratés et d’autres vecteurs de téléchargement, utilisant des techniques anti-émulation sophistiquées pour échapper à la détection.
L’unité de lutte contre les crimes numériques de Microsoft a orchestré le démantèlement par ordonnance judiciaire du tribunal de Géorgie, permettant la saisie et le blocage des domaines malveillants. Parallèlement, le ministère américain de la Justice a saisi le panneau de contrôle et la place de marché de Lumma Stealer. L’opération a été coordonnée avec Europol (EC3) et le Centre japonais de contrôle de la cybercriminalité (JC3) pour démanteler l’infrastructure locale.
« Cette opération de perturbation mondiale a été rendue possible grâce à notre suivi à long terme de Lumma Stealer. L’opération de perturbation menée par Microsoft visait à saisir tous les domaines C&C connus de Lumma Stealer, rendant l’infrastructure d’exfiltration de Lumma Stealer non fonctionnelle. Cependant, ESET continuera à suivre les autres voleurs d’informations tout en surveillant de près l’activité de Lumma Stealer à la suite de cette opération de perturbation », conclut M. Tomanek.
Pour une vue d’ensemble de l’écosystème Lumma Stealer et une analyse technique, consultez l’article de blog d’ESET Research, « ESET takes participate in global operation to disrupt Lumma Stealer «
