Lumma Infostealer nutzt GitHub für groß angelegte Datenexfiltration

Die Cybersecurity and Infrastructure Security Agency (CISA) hat eine Warnung bezüglich Lumma Infostealer herausgegeben, die eine erhebliche Aktivitätssteigerung seit Anfang 2025 verzeichnet. Die Malware, die vermutlich während des gesamten Jahres 2024 und bis in die Gegenwart aktiv war, wurde in groß angelegten Datenexfiltrationskampagnen eingesetzt. Ihre Betreiber nutzen vertrauenswürdige Plattformen wie GitHub, um schädliche Nutzlasten zu verbreiten und setzen fortgeschrittene Techniken zur Umgehung von Erkennung ein.

Lumma Infostealer wird als Malware-as-a-Service (MaaS) angeboten, was seine Zugänglichkeit für eine breite Palette von Cyberkriminellen erhöht. Seit seinem ersten Auftreten auf Dark-Web-Foren im August 2022 hat sich die Nutzerbasis dramatisch erweitert. Die Malware verfügt über hochentwickelte Funktionen zur Umgehung von Analysen, darunter Anti-Virtual-Machine-Fähigkeiten, Payload-Verschlüsselung und die missbräuchliche Nutzung legitimer Systemwerkzeuge durch sogenannte "Living off the Land"-Techniken.

Die primäre Motivation hinter Lumma ist finanzieller Gewinn. Die Malware ist darauf ausgelegt, Zugangsdaten, Bankinformationen, Kryptowährungs-Wallets und andere persönliche Daten von Opfern zu stehlen. Diese gestohlenen Daten können dann auf Untergrundmärkten verkauft oder für betrügerische Zwecke verwendet werden. Die Akteure hinter Lumma scheinen eher finanziell motivierte Cyberkriminelle als staatliche Akteure zu sein.

Angreifer haben GitHub systematisch für den initialen Zugriff genutzt. In einer beobachteten Kampagne wurden Entwickler dazu verleitet, "Fixes" für Schwachstellen herunterzuladen, die tatsächlich Lumma Infostealer-Nutzlasten waren. In separaten Fällen wurden Tausende von gefälschten Kommentaren in GitHub-Projekten veröffentlicht, die Benutzer aufforderten, Malware herunterzuladen, die als Lösungen für gemeldete Probleme getarnt war.