Google Groups-kampagne spreder Lumma Stealer-malware

Sikkerhedsforskere har afsløret en Google Groups-kampagne, der spreder malware til tyveri af loginoplysninger gennem falske tekniske diskussioner. Angribere offentliggør beskeder, der ligner almindelig fejlsøgningshjælp, og narrer brugere til at downloade skadelige filer. Fordi indholdet vises i betroede fællesskaber, sænker mange deres opmærksomhed.

Falske fejlsøgningstråde lokker ofre

Angriberne deltager i rigtige diskussionsgrupper og poster detaljerede svar, som ligner legitim teknisk support. Indlæggene henviser til loginproblemer, serverfejl eller konfigurationsændringer. Hver besked indeholder et downloadlink præsenteret som et nødvendigt værktøj eller en opdatering.

Linkene peger ofte på filer lagret via betroede tjenester eller gennem omdirigeringer, hvilket får dem til at virke sikre. Ofrene tror, de følger professionelle råd i stedet for at interagere med angribere.

Windows-systemer inficeres med Lumma Stealer

Windows-brugere modtager et adgangskodebeskyttet arkiv. Filen er usædvanligt stor, selv om det skadelige program indeni er lille. Den ekstra størrelse hjælper malwaren med at undgå automatiske sikkerhedsscanninger.

Efter udpakning kører nyttelasten stille i hukommelsen. Adfærden svarer til Lumma Stealer, en malware til tyveri af legitimationsoplysninger, der ofte sælges i cyberkriminelle miljøer. Programmet indsamler browserdata, autentifikationstokens og gemte adgangskoder og sender oplysningerne til angriberstyrede servere. Kaprede sessioner kan give direkte adgang til virksomhedskonti.

Linux-brugere får en skadelig browser

Linux-brugere downloader en modificeret Chromium-baseret browser, der markedsføres som privatlivsfokuseret. Efter installationen tilføjer den skjulte udvidelser og vedvarende mekanismer uden at advare brugeren.

Udvidelsen overvåger browsingaktivitet og injicerer scripts på besøgte hjemmesider. Baggrundsprocesser kontakter jævnligt angriberens infrastruktur og kan automatisk opdatere malwaren. Dermed kan angriberen bevare adgang selv efter genstart.

Hvorfor angrebet virker

Kampagnen bygger på tillid frem for sårbarheder. Google Groups-indlæggene fremstår autentiske, og det tekniske sprog virker overbevisende. Mange antager derfor, at rådene kommer fra erfarne administratorer og følger instruktionerne uden kontrol.

Når mistænkelig adfærd opdages, er loginoplysninger ofte allerede stjålet, og konti kan være kompromitteret.

Sådan kan organisationer reducere risikoen

Organisationer bør blokere softwaredownloads foreslået i åbne diskussionsfora, medmindre de verificeres internt. Overvågning af usædvanlige browserudvidelser og udgående forbindelser kan afsløre kompromitterede systemer.

Brugeroplysning er lige så vigtig. Medarbejdere bør hente værktøjer fra officielle leverandører i stedet for fra forumlinks.

Konklusion

Google Groups-kampagnen viser, hvordan social manipulation flytter til legitime platforme. Angribere behøver ikke længere mistænkelige websites, når betroede fællesskaber kan levere malwaren. Klare verifikationsrutiner og brugerbevidsthed er afgørende for at forhindre datatyveri og vedvarende adgang.