Microsoft y el Departamento de Justicia asestan un duro golpe al imperio del malware Lumma

      Microsoft, en asociación con el Departamento de Justicia de los EE.UU. (DOJ), dio un paso importante para desmantelar una de las herramientas de cibercrimen más prolíficas que circulan actualmente. La Unidad de Delitos Digitales (DCU) de Microsoft colaboró con el Departamento de Justicia, Europol y varias empresas globales de ciberseguridad para interrumpir la red de malware Lumma Stealer, una plataforma de malware como servicio (MaaS) implicada en cientos de miles de infracciones digitales en todo el mundo.

      Según Microsoft, Lumma Stealer infectó más de 394.000 máquinas Windows entre marzo y mediados de mayo de 2025. El malware ha sido una herramienta favorita entre los ciberdelincuentes para robar credenciales de inicio de sesión e información financiera confidencial, incluidas billeteras de criptomonedas. Se ha utilizado para campañas de extorsión contra escuelas, hospitales y proveedores de infraestructura. Según el sitio web del Departamento de Justicia, " el FBI ha identificado al menos 1,7 millones de instancias en las que LummaC2 se utilizó para robar este tipo de información.”

      Con una orden judicial del Tribunal de Distrito de los EE.UU. para los Distritos del Norte de Georgia, Microsoft eliminó aproximadamente 2.300 dominios maliciosos asociados con la infraestructura de Lumma. El Departamento de Justicia eliminó simultáneamente cinco dominios LummaC2 críticos, que actuaban como centros de comando y control para los ciberdelincuentes que implementaban el malware. Estos dominios ahora redirigen a un aviso de incautación del gobierno.

      La asistencia internacional provino del Centro Europeo de Ciberdelincuencia (EC3) de Europol y del JC3 de Japón, quienes coordinaron los esfuerzos para bloquear los servidores regionales. Empresas de ciberseguridad como Bitsight, Cloudflare, ESET, Lumen, CleanDNS y GMO Registry ayudaron a identificar y desmantelar la infraestructura web.

      Dentro de la operación Lumma

      Lumma, también conocido como LummaC2, ha estado operando desde 2022, posiblemente antes, y pone a la venta su malware para robar información a través de foros encriptados y canales de Telegram. El malware está diseñado para facilitar su uso y, a menudo, se incluye con herramientas de ofuscación para ayudarlo a eludir el software antivirus. Las técnicas de distribución incluyen correos electrónicos de suplantación de identidad, sitios web de marcas falsificados y anuncios maliciosos en línea conocidos como "publicidad maliciosa".”

      Los investigadores de ciberseguridad dicen que Lumma es particularmente peligroso porque permite a los delincuentes escalar rápidamente los ataques. Los compradores pueden personalizar las cargas útiles, rastrear los datos robados e incluso obtener asistencia al cliente a través de un panel de usuario dedicado. La Inteligencia de amenazas de Microsoft vinculó previamente a Lumma con la notoria pandilla Octo Tempest, también conocida como " Araña Dispersa.”

      En una campaña de phishing a principios de este año, los piratas informáticos pudieron falsificar Booking.com y usó Lumma para obtener credenciales financieras de víctimas desprevenidas.

      ¿Quién está detrás?

      Las autoridades creen que el desarrollador de Lumma se conoce con el alias "Shamel" y opera fuera de Rusia. En una entrevista de 2023, Shamel afirmó tener 400 clientes activos e incluso se jactó de la marca Lumma con un logotipo de paloma y el eslogan :" Ganar dinero con nosotros es igual de fácil.”

      Disrupción a largo plazo, no un nocaut

      Imagen utilizada con permiso del titular de los derechos de autor

      Si bien el derribo es significativo, los expertos advierten que Lumma y herramientas como esta rara vez se erradican para siempre. Aún así, Microsoft y el Departamento de Justicia dicen que estas acciones obstaculizan e interrumpen gravemente las operaciones delictivas al cortar su infraestructura y flujos de ingresos. Microsoft utilizará los dominios incautados como sumideros para recopilar inteligencia y proteger aún más a las víctimas.

      Esta situación resalta la necesidad de cooperación internacional en la aplicación de la ciberdelincuencia. Los funcionarios del Departamento de Justicia enfatizaron el valor de las asociaciones público-privadas, mientras que el FBI señaló que las interrupciones autorizadas por los tribunales siguen siendo una herramienta crítica en el libro de jugadas de ciberseguridad del gobierno.

      A medida que la DCU de Microsoft continúa su trabajo, esta represión de Lumma sienta un fuerte precedente de lo que se puede lograr cuando especialistas de la industria y del gobierno colaboran para eliminar las amenazas.

      A medida que se descubren e interrumpen más de estas organizaciones, recuerde protegerse cambiando sus contraseñas con frecuencia y evite hacer clic en enlaces de remitentes desconocidos.