LummaStealer resurges with CastleLoader a MaaS, die sensible Daten stehlen

In den letzten Monaten wurde eine besorgniserregende Rebound von LummaStealer-bezogenen Infektionen entdeckt, eine Informationsdiebstahl-Plattform, die als Malware-as-a-Service (MaaS) funktioniert. Obwohl in einer koordinierten Operation im Mai 2025 teilweise entartet wurde, dass Tausende von Domänen und seine Kontrollinfrastruktur überstiegen, verschwand die Aktivität nicht: Die Betreiber starteten von Juli und von Ende 2025 bis Januar 2025 die Kampagne deutlich.

LummaStealer ist kein einfaches isoliertes Virus, sondern ein krimineller Dienst, der den Zugang zu hochsensiblen Daten erleichtert. Was Sie suchen, sind Benutzernamen und Passwörter, die in Browsern, Sitzungs-Cookies, Authentifizierungs-Tokens, VPN-Konfigurationen, Kryptomoneda-Portfoliode und auf dem Computer gespeicherte Dokumente gespeichert werden. Diese breite Palette von Zielen macht es zu einer besonders gefährlichen Bedrohung für Nutzer und Unternehmen gleichermaßen.

Was sich in dieser Welle verändert hat, ist die Rolle von CastleLoader, einem Malware-Ladegerät, das als zentrales Element in vielen Infektionsketten entstanden ist. Bitdefender-Forscher haben beschrieben, wie CastleLoader als "Distribution-Plattform" fungiert: Disnumbers und lädt den schädlichen Code vollständig im Speicher, verwendet mehrere Schichten der Nutzung und kann flexibel mit Befehls- und Steuerservern kommunizieren, so dass es ideal ist, verschiedene Info-Stealer und Remote Access Trojans-Familien zu verbreiten. Für eine vollständige Analyse der Ergebnisse von Bitdefender siehe Ihren technischen Bericht: Bitdefender Labs: LummaStealer und CastleLoader.

In technischen Begriffen, CastleLoader erscheint in der Regel als obfuscated Scripts geschrieben in AutoIt oder Python, die entschlüsseln und führen die schädliche Last im Speicher. Es verwendet namhafte Wörterbücher, kodierte Ketten, die in Laufzeit decodiert sind, viele nutzlose Code und arithmetische Operationen, die nur dienen, um Analysten und automatische Werkzeuge zu verwirren. Darüber hinaus prüft sie vor dem Start des Informationsdiebstahls, ob sie in einem Sicherheitslabor analysiert wird und passt seine Installationsrouten nach den in der Opfermaschine erfassten Sicherheitsprodukten an.

Persistenz wird durch ein einfaches, aber effektives Rezept erreicht: Das schädliche Skript wird auf eine etablierte Route kopiert, der Dolmetscher (z.B. AutoIt) wird an einem anderen Ort platziert und ein direkter Internetzugang wird im Startordner erstellt, um den Dolmetscher als Argument mit dem Skript auszuführen, so dass die Last nach dem Neustart aktiviert wird. Unter den Verhaltensindikatoren, die Forscher identifiziert haben, ist ein markantes Verhalten: CastleLoader führt bewusst eine DNS-Beratung zu einer nicht vorhandenen Domäne, wodurch ein Ausfall, der nachweisbare Netzwerk-Artefakte lässt - ein Punkt, dass Verteidigungsteams verwenden können, um verdächtige Aktivitäten im Netzwerk zu identifizieren.

Die Verbreitung von LummaStealer ist nicht auf eine einzige Methode beschränkt. Betreiber verwenden gestrandete oder "troyanized" Installer, Piratenversionen von Software auf gefälschten Websites oder Torrents verteilt, und irreführende Spiele oder Multimedia-Dateien. Ein Social Engineering-Vektor, der besonders effektiv war, ist als ClickFix bekannt: Das Opfer sieht eine Seite, die eine CAPTCHA oder eine Überprüfung mihmt, erhält detaillierte Anweisungen, um einen Befehl auf PowerShell einzufügen und auszuführen, und dieser Befehl wurde bereits auf seiner Zwischenablage platziert. Durch das Anklicken, die Maschine herunterlädt und läuft ein Remote-Skript; oft die erste Komponente, die eintritt, ist CastleLoader, die wiederum LummaStealer erholt. Bitdefender dokumentiert diesen Modus operandi in seinem Bericht und qualifiziert ihn als einer der mächtigsten Vektoren der Kampagne.

Die Beziehung zwischen CastleLoader und LummaStealer wurde bereits zuvor von anderen Geheimdienstteams festgestellt. So dokumentierte beispielsweise die Insikt Group of Recorded Future, wie einer der Teile der von CastleLoader genutzten Infrastruktur als Befehls- und Kontrollserver für LummaStealer fungierte und die operative Verbindung zwischen den beiden schädlichen Projekten bestätigte. Um diese Forschung weiter voranzutreiben, ist die Recorded Future Analyse verfügbar: Aufgenommene Zukunft - Insikt Group.

Angesichts dieses Szenarios sind Prävention und Früherkennung entscheidend. Auf der persönlichen Ebene ist es angebracht, das Herunterladen aus nicht verifizierten Quellen zu vermeiden und aus Piraten-Software oder "cracketed"-Tools zu entkommen, die für diese Art von Infektion häufig Brutplatz sind. Wenn ein Web einen Befehl auf PowerShell oder in einer Konsole als Teil einer "Verification" ausführen will, die als Alarmsignal genommen werden sollte: Sie sollten nie einfügen und ausführen Clipboard-Code, wenn Sie nicht genau verstehen, was Sie tun. Für Unternehmen und Administratoren sind neben der Benutzererziehung auch Endpunktlösungen und Verhaltenserkennung unerlässlich, um Speicherausführungen, DNS-Anomalien und ungewöhnliche Persistenzen zu beobachten sowie Entladungsfiltersteuerungen und Netzwerksegmentierung anzuwenden.

Die breitere Lektion ist, dass das Ökosystem von Cyberkriminalität widerstandsfähig ist. Störungen durch Strafverfolgung und Industrie können die Infrastruktur verlangsamen oder disarticulate, aber Malware-Entwickler und unerlaubte Service-Anbieter sind mit neuen Stücken und Techniken - wie CastleLoader und ClickFix - angepasst, um die Maschinen neu zu starten. Aus diesem Grund muss die Antwort ebenso vielfältig sein: eine Kombination von Intelligenz über gemeinsame Bedrohungen, fortschrittliche Erkennungstools und nicht zuletzt kontinuierliche Schulung für Benutzer, um Betrug zu erkennen und nicht Befehle auszuführen, die ihr Team gefährden.

Wenn Sie die technischen Analysen lesen und Indikatoren für die Verteidigung erhalten möchten, sind die oben genannten Bitdefender und Recorded Future-Berichte ein guter Ausgangspunkt. Die Aktualisierung der Software, die Anwendung von Multifaktor-Authentifizierung in kritischen Konten, die Verwendung von Passwort-Managern und die Überprüfung von Netzwerk-Aufzeichnungen für atypische Muster (z.B. fehlgeschlagene DNS-Abfragen auf nicht vorhandene Domänen) sind konkrete Maßnahmen, die das Risiko für diese Kampagnen stark reduzieren.