Під виглядом високоякісних релізів фільмів фейкові завантаження «Одіссеї» почали поширювати шкідливе програмне забезпечення Lumma Stealer, ставлячи під загрозу криптогаманці, паролі та браузерні сесії.
BNB.exe, замасковані під релізи 1080p, WEBRip та Blu-ray.Bitdefender повідомив 6 серпня, що його дослідники виявили шкідливі виконувані файли Windows, які використовували імена файлів, схожі на піратські копії «Одіссеї», лише через кілька днів після виходу фільму.
Замасковані під відеофайли, ці завантаження використовують знайомі торрент-мітки, такі як 1080p, WEBRip, Blu-ray та H264, щоб зробити оголошення автентичними. Bitdefender ідентифікував назви файлів, зокрема «the odyssey 2160phd (2026) engsubs eztv.exe», «the odyssey 2026 1080p h264-djt.exe» та «the odyssey 2026 1080p webrip-lama.exe».
Замість того, щоб відкривати фільм, кожен файл .exe запускає програмне забезпечення, створене для зараження комп'ютера Windows. Bitdefender заявив, що його продукти безпеки запобігли завантаженню або запуску виявлених файлів користувачами, хоча дослідники попередили, що можуть циркулювати й інші назви файлів.
Зловмисники можуть ускладнити виявлення маскування, змінивши значок виконуваного файлу, щоб він був схожий на VLC Media Player або звичайний відеофайл. Інсталяції Windows за замовчуванням приховують відомі розширення файлів, за даними Bitdefender, що означає, що користувач може бачити назву в стилі фільму та значок VLC, не помічаючи закінчення .exe.
Люди, які шукають торрент-сайти, також можуть очікувати незвичайних назв файлів, стиснутих папок або вбудованого відеоплеєра, що надає шкідливому файлу додатковий рівень прикриття. Bitdefender заявив, що приманка не вимагає складних хитрощів, оскільки жертва вже вирішила завантажити неофіційну копію з неперевіреного джерела.
Після запуску Lumma Stealer шукає на зараженому комп'ютері паролі браузера, збережену платіжну інформацію, записи автозаповнення, облікові дані віддаленого робочого столу та дані криптогаманців, за даними охоронної фірми.
Шкідливе програмне забезпечення також збирає автентифікаційні файли cookie браузера. Bitdefender попередив, що викрадені файли cookie можуть дозволити зловмиснику захопити активну сесію облікового запису, навіть якщо жертва увімкнула багатофакторну автентифікацію, оскільки злочинець може повторно використати сесію, яка вже пройшла перевірку входу.
Відомий як LummaC2, цей шкідник є викрадачем інформації, розробленим у Росії та проданим іншим злочинцям як послуга, за даними Bitdefender та влади США. Його доступність через підпільні ринки дозволяє покупцям проводити кампанії з крадіжки даних, не створюючи власного шкідливого програмного забезпечення.
Під час вивчення файлів «Одіссеї» Bitdefender спостерігав спроби зв'язатися з інфраструктурою керування та контролю, пов'язаною з Lumma Stealer. Дослідники ідентифікували домени auditva[.]cyou, myroayy[.]cyou та logmabx[.]click, які, за словами компанії, вона заблокувала для своїх клієнтів.
На відміну від деяких попередніх версій, зразки, знайдені в останній кінокампанії, не використовували окремі дропери або інструменти закріплення, повідомив Bitdefender. Оператори, замість цього, здавалися задоволеними збором та відправкою доступної інформації під час початкового виконання.
Попередні атаки Lumma, пов'язані з фільмами, використовували додаткові методи для уникнення виявлення. Bitdefender виявив затримку виконання, коли було присутнє програмне забезпечення безпеки, зашифровану доставку корисного навантаження за допомогою сценаріїв AutoIt та інші перевірки в кампанії 2025 року, побудованій навколо фейкових копій фільму «Місія нездійсненна – Остаточний розрахунок».
Для власників криптоактивів США, LummaC2 вже привернув увагу федеральних правоохоронних органів. У травні 2025 року Міністерство юстиції отримало ордери на вилучення п'яти інтернет-доменів, що використовувались адміністраторами шкідливого програмного забезпечення, тоді як Microsoft подала окремий цивільний позов, що охоплює близько 2300 інших доменів, пов'язаних з операцією.
Судові документи, на які посилається департамент, зазначили, що ФБР виявило щонайменше 1,7 мільйона випадків, коли LummaC2 використовувався для крадіжки інформації. Перелік цілей включав записи браузера, дані для входу в електронну пошту та банківські рахунки, дані автозаповнення та початкові фрази для криптогаманців, які могли б надати доступ до гаманців віртуальних активів.
«Шкідливе програмне забезпечення, таке як LummaC2, розгортається для крадіжки конфіденційної інформації, такої як облікові дані для входу користувачів від мільйонів жертв, щоб сприяти низці злочинів, включаючи шахрайські банківські перекази та крадіжку криптовалюти», – сказав у заяві Меттью Галеотті, тодішній голова кримінального відділу Міністерства юстиції.
Федеральна операція вилучила два домени 19 травня 2025 року. Після того, як адміністратори LummaC2 повідомили клієнтам про три домени на заміну наступного дня, влада США також вилучила нові адреси, згідно з департаментом.
Поряд з вилученнями, Агентство з кібербезпеки та безпеки інфраструктури (CISA) та ФБР видали технічну консультацію, що описує, як LummaC2 проникає в комп'ютери та вилучає конфіденційну інформацію. Міністерство юстиції доручило людям, які вважають, що пристрій був скомпрометований, зв'язатися з Центром скарг на злочини в Інтернеті ФБР або місцевим польовим відділенням.
Поява нових доменів, пов'язаних з Lumma, у висновках Bitdefender 2026 року вказує на те, що кампанії шкідливого програмного забезпечення, що використовують це сімейство, тривали після операції з примусового виконання 2025 року. Bitdefender не надав кількість жертв, оцінені втрати криптоактивів або географічний розподіл для кампанії «Одіссея».
Торренти фільмів є частиною серії кампаній шкідливого програмного забезпечення, які упаковують шкідливий код у контент, програми або інструменти, які активно шукають користувачі.
Раніше в серпні crypto.news повідомив, що Microsoft виявила фейкову кампанію CAPTCHA, яка використовувала смарт-контракти BNB Chain для отримання інструкцій щодо атаки. Microsoft заявила, що операція щодня націлювалася на тисячі споживчих та бізнес-пристроїв і доставляла кілька сімейств шкідливого програмного забезпечення, включаючи Lumma Stealer.
Замість завантаження фільму, людям, що потрапили в цю кампанію, було наказано відкрити Windows Run, Terminal або PowerShell і вставити команду, надану зловмисником. Microsoft попередила, що успішні зараження можуть розкрити облікові дані, встановити інструменти віддаленого доступу та створити точку входу для програм-вимагачів.
Мобільні користувачі зіткнулися з іншою формою крадіжки гаманців. У липні повідомлення відновили увагу до мобільного шкідливого програмного забезпечення SparkKitty, яке Kaspersky раніше виявляла в додатках iOS, Android та сторонніх. Шпигунське програмне забезпечення збирало зображення з галерей телефонів, де деякі користувачі зберігали скріншоти фраз для відновлення гаманця, паролів та QR-кодів.
Інструменти розробника також стали шляхом доставки. Socket повідомила в травні, що кампанія шкідливого програмного забезпечення TrapDoor включала щонайменше 34 шкідливі пакети та 384 пов'язані версії в репозиторіях npm, PyPI та Rust. За даними компанії з безпеки, пакети націлювалися на розробників криптоактивів та штучного інтелекту, шукаючи дані гаманців, токени GitHub, облікові дані хмарних сервісів та SSH-ключі.
Щодо останньої кінокампанії, Bitdefender порадив користувачам дивитися фільми через легальні потокові сервіси, уникати виконуваних файлів, що рекламуються як відео, та підтримувати Windows і програмне забезпечення безпеки в актуальному стані. Компанія також рекомендувала увімкнути розширення файлів у Провіднику Windows, щоб файл .exe не виглядав як звичайний фільм.
