Il 21 maggio è stata resa pubblica un’operazione internazionale contro Lumma Stealer, il più diffuso tra gli infostealer, i malware progettati per rubare credenziali e dati dai computer infetti. Hanno partecipato la Digital Crimes Unit di Microsoft, il Dipartimento di Giustizia statunitense, Europol, la polizia giapponese e diverse aziende di sicurezza e infrastruttura.
Su autorizzazione di un tribunale statunitense sono stati bloccati o sequestrati circa 2.300 domini, l’ossatura dell’infrastruttura di Lumma. Oltre 1.300 ora puntano a server controllati dai ricercatori, così le macchine infette non parlano più con i criminali ma con chi li sta studiando. Le autorità statunitensi hanno sequestrato i pannelli di controllo da cui i clienti del servizio gestivano il malware e hanno colpito i mercati dove veniva venduto. Europol e la polizia giapponese hanno fermato i server nelle rispettive aree. Non sono stati annunciati arresti.
Un malware in abbonamento
Lumma si vendeva come un software qualsiasi, con abbonamenti da poche centinaia a mille dollari al mese. I clienti lo distribuivano con email di phishing, falsi programmi gratuiti, pubblicità malevole e finte verifiche «non sono un robot» che chiedono di incollare un comando nel computer. Una volta installato raccoglieva le password salvate nei browser, i cookie di sessione, i dati delle carte di credito e i portafogli di criptovalute. Tra metà marzo e metà maggio ha infettato oltre 394.000 computer Windows nel mondo.
Le credenziali raccolte dagli infostealer sono il punto di partenza di moltissimi attacchi ransomware e furti di dati. I cookie di sessione, in particolare, permettono di entrare negli account anche quando la vittima ha attivato l’autenticazione a due fattori. Il colpo è duro, ma servizi di questo tipo hanno l’abitudine di ricomparire con nuove infrastrutture.
La difesa comincia da ciò che scarichi. Niente programmi crackati o da siti non ufficiali, e nessuna pagina web ha bisogno che tu incolli un comando per dimostrare di essere umano. Non salvare le password nel browser: usa un gestore di password. Se sospetti un’infezione, pulisci il computer e poi cambia le password da un altro dispositivo, chiudendo tutte le sessioni attive.
In azienda, tieni d’occhio le sessioni riutilizzate da posizioni insolite e accorcia la durata dei cookie di sessione. Un cookie che scade in fretta vale poco anche se viene rubato.
