Google-Groups-Kampagne verbreitet Lumma-Stealer-Malware

Sicherheitsforscher haben eine Google-Groups-Kampagne entdeckt, die Schadsoftware zum Diebstahl von Zugangsdaten über gefälschte technische Diskussionen verbreitet. Angreifer veröffentlichen Beiträge, die wie normale Problemlösungen wirken, und verleiten Nutzer zum Herunterladen schädlicher Dateien. Da die Inhalte in vertrauenswürdigen Communities erscheinen, senken viele ihre Wachsamkeit.

Gefälschte Support-Threads locken Opfer

Die Angreifer treten echten Diskussionsgruppen bei und veröffentlichen detaillierte Antworten, die legitimer technischer Hilfe ähneln. Die Beiträge beziehen sich auf Anmeldeprobleme, Serverfehler oder Konfigurationsanpassungen. Jede Nachricht enthält einen Download-Link, der als notwendiges Tool oder Update dargestellt wird.

Die Links führen häufig zu Dateien über vertrauenswürdige Dienste oder Umleitungsketten und wirken dadurch sicher. Die Opfer glauben, professionellen Anweisungen zu folgen, statt mit Angreifern zu interagieren.

Windows-Systeme werden mit Lumma Stealer infiziert

Windows-Nutzer erhalten ein passwortgeschütztes Archiv. Die Datei ist ungewöhnlich groß, obwohl das schädliche Programm darin klein ist. Diese Aufblähung hilft der Malware, automatische Sicherheitsprüfungen zu umgehen.

Nach dem Entpacken läuft die Nutzlast unbemerkt im Speicher. Das Verhalten entspricht Lumma Stealer, einer in kriminellen Kreisen weit verbreiteten Zugangsdaten-Malware. Das Programm sammelt Browserdaten, Authentifizierungs-Token und gespeicherte Passwörter und sendet sie an Server der Angreifer. Gestohlene Sitzungen können direkten Zugriff auf Unternehmenskonten ermöglichen.

Linux-Nutzer erhalten einen manipulierten Browser

Linux-Opfer laden einen modifizierten Chromium-basierten Browser herunter, der als datenschutzfreundliche Anwendung beworben wird. Nach der Installation fügt er versteckte Erweiterungen und Persistenzmechanismen ohne Warnung hinzu.

Die Erweiterung überwacht das Surfverhalten und injiziert Skripte in besuchte Webseiten. Hintergrundprozesse kontaktieren regelmäßig die Infrastruktur der Angreifer und können die Malware automatisch aktualisieren. Dadurch behalten Angreifer auch nach einem Neustart langfristigen Zugriff.

Warum der Angriff funktioniert

Die Kampagne nutzt Vertrauen statt technischer Schwachstellen. Beiträge in Google Groups wirken authentisch und die technische Sprache überzeugt viele Nutzer. Daher folgen sie den Anweisungen ohne weitere Prüfung.

Wenn verdächtiges Verhalten auffällt, sind Zugangsdaten meist bereits gestohlen und Konten kompromittiert.

Wie Organisationen das Risiko reduzieren können

Unternehmen sollten Downloads aus öffentlichen Diskussionsforen blockieren, sofern sie nicht intern verifiziert wurden. Die Überwachung ungewöhnlicher Browser-Erweiterungen und ausgehender Verbindungen kann kompromittierte Systeme aufdecken.

Auch Aufklärung ist entscheidend. Mitarbeitende sollten Werkzeuge ausschließlich aus offiziellen Quellen beziehen, nicht aus Community-Links.

Fazit

Die Google-Groups-Kampagne zeigt, wie Social-Engineering-Angriffe auf legitime Plattformen ausweichen. Angreifer benötigen keine verdächtigen Webseiten mehr, wenn vertrauenswürdige Communities die Schadsoftware verbreiten können. Klare Prüfprozesse und geschulte Nutzer bleiben entscheidend, um Datendiebstahl und dauerhaften Zugriff zu verhindern.