悪名高いマルウェアLumma Stealerがテイクダウンされる

佐々山 Tacos

2025.05.22

悪名高いマルウェアLumma Stealerがテイクダウンされる

SecurityWeek – May 21, 2025

マイクロソフトおよび各国の法執行機関は21日、悪名高いインフォスティーラー「Lumma Stealer（別称LummaC2）」をテイクダウンしたと発表。関連するドメイン2,300件が差し押さえられるとともに、同スティーラーを売りに出していたダークウェブマーケットも米司法省によってブロックされたという。

米国以外にこの作戦に参加したのが、ユーロポールのEC3（欧州サイバー犯罪センター）と日本のJC3（日本サイバー犯罪対策センター）。両者は、ヨーロッパおよび日本に位置していたサーバーを追跡し、Lummaインフラの押収に貢献したとされる。またマイクロソフトのデジタルクライムユニット（DCU）はLummaのC2インフラを特定・マッピングするためのツールを開発し、およそ2,300件のドメインのテイクダウン・停止・ブロックを支援した。

Lumma Stealerとは、2022年からロシア語のフォーラムで宣伝されるようになったマルウェア・アズ・ア・サービス。その後ダークウェブマーケットのほかTelegramなどでもサブスクリプション形式で販売されており、利用者であるサイバー犯罪者らはこのマルウェアをスピアフィッシングやマルバタイジング、ドライブバイダウンロードといった手法で配布。最近では、ClickFixの手法もLummaの配布手段として用いられるようになっていた。マイクロソフトは、LummaマルウェアやC2、および同MaaSサービスを開発・運営する脅威アクターを「Storm-2477」として追跡している。

Lummaはマシンに感染すると、ブラウザ認証情報やCookie、各種ブラウザ（Edge含むChromium、Mozilla、Geckoベースのもの）のオートフィルデータ、コールドストレージの暗号鍵などを盗み出す。また、ユーザープロファイルやその他の一般的なディレクトリで見つかったファイル（特に拡張子が.pdf、.docx、.rtfのもの）に加え、CPU情報やOSバージョン、システムロケール、インストールされているアプリケーションなどのシステムメタデータも収集可能。

Lumma Stealerによって盗み出されたデータはその後、ダークウェブのマーケットで販売されるか、ランサムウェア攻撃で利用されていたものとみられる。マイクロソフトは21日に公開したレポートの中で、Octo Tempest（Scattered Spider）、Storm-1607、Storm-1113、Storm-1674といったランサムウェアアクターがそれぞれのキャンペーンにおいてLummaを使用するのを観測したと述べている。

マイクロソフトのレポート記事では対策のための推奨事項やハンティングクエリが紹介されているほか、米FBIとCISAの共同アドバイザリでは技術的詳細やIoCなどの情報が共有されている。