LummaStealer Análise de malware
Propriedades do arquivo
SHA256: a881925ab6bb6488d6c09ce176612eded9913dbc61c0f88fb1565a555f359012
MD5: 77236d68ec3d6509dd17e9a016c358b3
Tipo de arquivo: exe
Tamanho: 1,800,704 byte
Primeira detecção: 2025-09-07
Assinatura AV: LummaStealer
Imphash: 2eabe9054cad5152567f0699947a2c5b
Relatado por: abuse_ch
Tags: exe, LummaStealer
Análise estática: baseada em metadados (amostra não baixada)
LummaStealer — Perfil do malware
LummaStealer (LummaC2) is a C-based infostealer sold as MaaS. Steals credentials, crypto wallets, browser data. Highly active 2023-2025. Uses dead drop resolvers.
Detalhes técnicos
LummaStealer (LummaC2) is a C-based information stealer sold as Malware-as-a-Service since 2022. Targets 40+ browser extensions, crypto wallets (MetaMask, Exodus, Electrum, Binance, Coinbase, Atomic), browser credentials/cookies, 2FA authenticator databases, FTP clients, and custom file patterns. Uses dead drop resolvers: Steam profiles, Telegram channels, GitLab repositories to retrieve current C2 address. Anti-sandbox: CSPRNG-based timing checks, VM artifact detection, sleep timers. Delivered via fake software cracks, YouTube video descriptions, SEO-poisoned download pages. C2 communication: HTTPS POST to /c2sock or /api endpoint. Highly active 2023-2025, frequent updates to bypass AV detection.
Atribuição / Ator da ameaça
Unknown (Eastern European actor suspected)
Capacidades e comportamento
Lista IOC (1 indicadores)
# FILEPATH
a881925ab6bb6488d6c09ce176612eded9913dbc61c0f88fb1565a555f359012
| Tipo | Valor | Nota |
|---|---|---|
| filepath | a881925ab6bb6488d6c09ce176612eded9913dbc61c0f88fb1565a555f359012 | PDB |
Servidores C2 (4 servidores registrados para esta família)
| Endereço | Tipo | Porta | Protocolo | Status | País |
|---|---|---|---|---|---|
| 45.133.174.124 | ip | 443 | HTTPS | inactive | US |
| 194.165.16.77 | ip | 443 | HTTPS | inactive | RU |
| 94.156.66.79 | ip | 443 | HTTPS | inactive | RU |
| 185.196.8.210 | ip | 443 | HTTPS | inactive | RU |
Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.