Eset, Microsoft, BitSight, Lumen, Cloudflare, CleanDNS ve GMO Registry ile iş birliği yaparak kötü şöhretli bir hizmet olarak kötü amaçlı yazılım bilgi hırsızı olan Lumma Stealer’a karşı küresel bir kesinti operasyonu gerçekleştirdi. Operasyon Lumma Stealer altyapısını, özellikle de geçtiğimiz yılın bilinen tüm C&C sunucularını hedef alarak botnet’i büyük ölçüde çalışamaz hâle getirdi.
Lumma Stealer’ı izleyen ve araştıran Eset araştırmacısı Jakub Tomanek yaptığı açıklamada şunları söyledi:
“Eset otomatik sistemleri on binlerce Lumma Stealer örneğini işleyerek C&C sunucuları ve iştirak tanımlayıcıları gibi temel unsurları çıkarmak için bunları inceledi. Bu sayede Lumma Stealer’ın faaliyetlerini sürekli olarak izleyebildik, iştirakleri kümeleyebildik, geliştirme güncellemelerini takip edebildik ve daha fazlasını yapabildik. Lumma Stealer gibi Infostealer zararlı yazılım aileleri, genellikle gelecekteki çok daha yıkıcı saldırıların habercisidir. Toplanan kimlik bilgileri, siber suç yeraltı dünyasında değerli bir metadır ve ilk erişim aracıları tarafından fidye yazılımı iştirakleri de dahil olmak üzere çeşitli diğer siber suçlulara satılır. Lumma Stealer son iki yıldır en yaygın bilgi hırsızlarından biri oldu ve dünyanın dokunulmadık hiçbir yerini bırakmadı. Bu küresel kesinti operasyonu, Lumma Stealer’ı uzun süreli takibimiz sayesinde mümkün oldu. Microsoft’un öncülük ettiği kesinti operasyonu, bilinen tüm Lumma Stealer C&C alan adlarını ele geçirerek Lumma Stealer’ın bilgi sızdırma altyapısını işlevsiz hâle getirmeyi amaçladı. Ancak ESET, bu kesinti operasyonunun ardından Lumma Stealer faaliyetlerini yakından izlerken diğer bilgi hırsızlarını da takip etmeye devam edecek.”
Düzenli Olarak Geliştiriliyor
Lumma Stealer geliştiricileri, kötü amaçlı yazılımı aktif olarak geliştiriyor ve bakımını yapıyordu. Eset, küçük hata düzeltmelerinden dize şifrelemesinin tamamen değiştirilmesine ve ağ protokolü güncellemelerine kadar değişen kod güncellemelerini düzenli olarak tespit etti. Botnet operatörleri ayrıca paylaşılan ağ altyapısını da aktif olarak sürdürdü. ESET, 17 Haziran 2024 ile 1 Mayıs 2025 tarihleri arasında, Telegram tabanlı ölü nokta çözümleyicilerine yönelik ara sıra yapılan güncellemeleri de dahil olmak üzere, her hafta yaklaşık ortalama 74 yeni alanın ortaya çıktığı toplam 3.353 benzersiz C&C alanını gözlemledi. Devam eden bu evrim, Lumma Stealer’ın oluşturduğu önemli tehdidin altını çiziyor ve kesinti çabalarının önemini vurguluyor.
Abonelik Usulü Çalışan Kötü Amaçlı Yazılım
Lumma Stealer, kötü amaçlı yazılım kavramını bir hizmet olarak benimsiyor ve iştirakçiler, en son kötü amaçlı yazılım yapılarını ve veri sızıntısı için gerekli ağ altyapısını almak için katmanlarına göre aylık bir ücret ödüyorlar. Katmanlı abonelik modeli, her biri giderek daha sofistike özelliklere sahip olan aylık 250 ila 1000 dolar arasında değişen fiyat aralıklarına sahiptir. Lumma Stealer’ın operatörleri ayrıca çalınan verileri aracılar olmadan satmak için bir derecelendirme sistemi ile bağlı kuruluşlar için bir Telegram pazarı oluşturdu. Yaygın dağıtım yöntemleri arasında kimlik avı, kırılmış yazılım ve diğer kötü amaçlı yazılım indiricileri yer alıyor. Lumma Stealer, analizi olabildiğince karmaşık hâle getiren az sayıda ama etkili bir anti-emülasyon tekniği kullanmaktadır. Bu teknikler tespitten kaçmak ve güvenlik analistlerinin çabalarını engellemek için tasarlanmıştır.
Microsoft’un Dijital Suçlar Birimi, Amerika Birleşik Devletleri Georgia Kuzey Bölgesi Bölge Mahkemesi tarafından verilen bir mahkeme kararıyla Lumma Stealer’ın altyapısının bel kemiğini oluşturan kötü amaçlı alan adlarının kaldırılmasını, askıya alınmasını, el konulmasını ve engellenmesini kolaylaştırdı. ABD Adalet Bakanlığı eş zamanlı olarak Lumma Stealer kontrol paneline de el koyarak Lumma Stealer pazarını ve dolayısıyla Lumma Stealer kötü amaçlı yazılımının alıcılarını hedef aldı. Bu işlem Europol’ün Avrupa Siber Suç Merkezi (EC3) ve Japonya’nın Siber Suç Kontrol Merkezi (JC3) ile koordine edilerek yerel Lumma Stealer altyapısının askıya alınması sağladı.
Kaynak : 