Anatomie d'une attaque LummaC2 : du phishing à la revente du log en 2026

LummaC2 est l’infostealer dont nous parlons le plus souvent aux équipes SOC qui nous contactent. Il y a une raison simple : sur les canaux Telegram que la plateforme Stealed surveille, plus d’un log frais sur trois publié en 2026 provient de cette famille. Le 13 mai 2025, Microsoft, le Department of Justice américain, Europol et leurs partenaires industriels ont mené l’une des plus grandes opérations de démantèlement jamais conduites contre un infostealer, en saisissant environ 2 300 domaines de commande et contrôle. Six mois plus tard, l’activité était quasi revenue à son niveau antérieur. En 2026, LummaC2 est à nouveau l’une des trois familles les plus distribuées au monde.

Cet article décortique une attaque LummaC2 type telle que nous l’observons aujourd’hui, étape par étape, du clic initial sur un faux CAPTCHA jusqu’à la mise en vente du log sur un canal VIP. L’objectif est de fournir aux équipes de sécurité une lecture technique complète, ancrée dans le référentiel MITRE ATT&CK et appuyée par les analyses publiques de Microsoft, du MITRE, de la CISA et des éditeurs spécialisés.

LummaC2 en 50 mots. Infostealer Malware-as-a-Service russophone, actif depuis 2022, ciblant Windows, navigateurs Chromium et Gecko, portefeuilles crypto, Discord et Telegram. Démantelé partiellement en mai 2025 (opération Microsoft + DOJ + Europol, 2 300 domaines saisis), revenu à pleine échelle fin 2025 via CastleLoader et hébergeurs bulletproof. MITRE ATT&CK : S1213.

LummaC2 en bref : le modèle Malware-as-a-Service

LummaC2 est commercialisé depuis au moins 2022 par un opérateur russophone connu sous le pseudonyme Shamel. Le service fonctionne sur le modèle classique du Malware-as-a-Service. L’opérateur central développe et maintient le code, l’infrastructure de panel de gestion, les builders et les mises à jour. Les clients, appelés affiliates, achètent un accès qui leur donne un binaire personnalisé, un panel pour suivre les infections en temps réel et une assistance technique.

D’après le blog Microsoft On The Issues publié au moment du takedown, le service comptait environ 400 utilisateurs actifs au printemps 2025. La grille tarifaire s’étendait de 250 dollars par mois pour les paliers d’entrée jusqu’à 20 000 dollars pour les niveaux les plus élevés, avec une hiérarchie de fonctionnalités (corporate, enterprise, ultimate) qui débloque des modules d’évasion supplémentaires, du support prioritaire et des builds personnalisés. La promotion se fait sur des forums russophones (XSS, Exploit) et sur des canaux Telegram dédiés à l’écosystème stealer.

Cette structure explique deux caractéristiques que l’on retrouve dans tous les logs LummaC2 que nous indexons. D’abord, une grande hétérogénéité dans la qualité des campagnes de distribution, parce que des dizaines d’affiliates différents lancent leurs propres opérations en parallèle, avec des niveaux de sophistication très variables. Ensuite, une rapidité d’évolution du code que peu de familles atteignent, parce que l’opérateur central pousse des mises à jour quasi hebdomadaires pour rester en avance sur les EDR.

Phase 1 : Distribution

En 2026, quatre vecteurs concentrent l’essentiel de la distribution LummaC2.

ClickFix et faux CAPTCHA (T1204). C’est la signature des campagnes Lumma depuis fin 2024. La victime arrive sur une page qui se présente comme un challenge Cloudflare, un CAPTCHA Google ou une vérification “I’m not a robot”. Les instructions affichées lui demandent d’ouvrir la boîte d’exécution Windows (Win+R), de coller une commande pré-copiée dans le presse-papiers et d’appuyer sur Entrée. La commande est typiquement un mshta.exe ou un powershell.exe avec un payload Base64 long, qui télécharge le loader Lumma. Microsoft décrit cette technique comme “downloading and executing Lumma directly in memory, using Base64 encoding”. Qualys, Netskope et Securelist ont publié des analyses détaillées de variantes successives entre fin 2024 et 2026.

Malvertising sur moteurs de recherche. Les opérateurs achètent des annonces Google Ads ciblant des requêtes pour des logiciels populaires (Notepad++, OBS Studio, AnyDesk, KeePass, 7-Zip, GIMP). Le clic mène à un site cloné de l’éditeur, généralement avec un nom de domaine très proche (typosquatting ou IDN homograph). Le binaire téléchargé se présente comme un installeur légitime mais embarque le loader Lumma. Cette technique correspond à T1566.002 (Phishing via lien) et exploite la confiance dans les premiers résultats de recherche.

Drive-by downloads et compromission de sites légitimes. Microsoft documente l’injection de JavaScript malveillant dans des sites WordPress mal patchés ou dans des chaînes d’approvisionnement de bibliothèques tierces. Le visiteur reçoit un payload, un script intermédiaire ou une bannière qui le pousse à télécharger un faux navigateur ou un faux codec.

Cracks, keygens et tutoriels YouTube. Vecteur historique des infostealers, toujours actif. Une vidéo YouTube présente un crack de Photoshop, FL Studio, Spotify Premium, IPTV ou un keygen quelconque. La description contient un lien MEGA, MediaFire ou Discord vers une archive protégée par mot de passe. L’archive contient l’exécutable Lumma renommé en setup.exe, password.txt et un faux readme. Cette technique correspond à T1195 (Supply Chain Compromise) au sens MITRE et reste particulièrement efficace sur les populations jeunes et les postes BYOD.

Une cinquième technique mérite d’être signalée pour son originalité : EtherHiding, qui consiste à stocker le payload chiffré dans un smart contract sur la Binance Smart Chain. Le loader interroge la blockchain pour récupérer le bytecode, ce qui rend le blocage par domaine ou IP inopérant. Cette technique reste minoritaire mais illustre la créativité des opérateurs face aux mesures défensives classiques.

Phase 2 : Infection et exécution

Une fois le loader exécuté, la chaîne d’infection LummaC2 enchaîne plusieurs étapes en quelques secondes.

Anti-analyse et anti-VM (T1497.001, T1622). Le code embarque des vérifications de présence d’environnement virtualisé (signatures VMware, VirtualBox, QEMU dans les drivers, registres CPUID, MAC address des cartes réseau virtuelles). Il vérifie la présence de débogueurs (IsDebuggerPresent, CheckRemoteDebuggerPresent, recherche de chaînes “ollydbg”, “x64dbg”, “ida”). Il attend des mouvements de souris humains pour confirmer qu’un utilisateur est présent (Anomali a documenté cette technique dès 2023). Si une condition d’analyse est détectée, le code sort silencieusement sans exfiltrer.

Obfuscation et déchiffrement (T1027, T1027.013, T1140). Microsoft décrit l’usage de Control Flow Flattening, Control Flow Obfuscation et de Heavens Gate pour rendre l’analyse statique difficile. Les chaînes critiques sont chiffrées en AES dans le binaire et déchiffrées à l’exécution. Les API les plus sensibles sont appelées via des syscalls directs pour contourner les hooks EDR en user-mode.

Process hollowing (T1055.012). Le payload final est injecté dans un processus système légitime. Microsoft mentionne explicitement msbuild.exe, regasm.exe, regsvcs.exe et explorer.exe. MITRE référence aussi BitLockerToGo.exe. Cette technique permet de masquer l’activité réseau et les accès fichiers derrière un binaire signé Microsoft.

Persistence (T1547.001). Quand l’opérateur configure une persistance (toutes les campagnes ne le font pas, certaines préfèrent une exfiltration unique pour rester furtives), une clé est créée dans HKCU\Software\Microsoft\Windows\CurrentVersion\Run pointant vers une copie du binaire dans %APPDATA% ou %LOCALAPPDATA%.

Communication C2 (T1071.001, T1573.002). Le binaire embarque une liste hardcodée de domaines C2 de premier niveau. Si ces domaines sont injoignables, une procédure de fallback récupère un domaine secondaire depuis un profil Steam (champ “Real Name” encodé en ROT) ou depuis un canal Telegram. Tout le trafic est en HTTPS, généralement derrière Cloudflare pour masquer l’origine. C’est précisément cette redondance multi-niveaux qui a rendu le takedown de mai 2025 efficace mais non définitif.

Phase 3 : Collecte des données

Une fois la communication C2 établie, le stealer télécharge une configuration dynamique qui définit ce qu’il doit collecter. Les cibles couvertes par défaut sont les suivantes.

Navigateurs Chromium et Gecko (T1555.003, T1539, T1217, T1176.001). Le stealer copie les fichiers Login Data, Cookies, Web Data, Local State (qui contient la clé de chiffrement maître pour Chromium 80+) et History des profils Chrome, Edge, Brave, Opera, Vivaldi. Il extrait les mots de passe, les cookies de session, les données de remplissage automatique, l’historique récent et la liste des extensions. Pour Firefox et les navigateurs Gecko, il accède à logins.json et key4.db. Une attention particulière est portée aux extensions de wallet et aux extensions 2FA (Authy, Authenticator).

Portefeuilles de cryptomonnaies (T1119). LummaC2 cible une liste étendue : MetaMask, Phantom, Exodus, Electrum, Atomic, Coinbase Wallet, Trust Wallet, Ronin, Coin98, Binance Wallet. Pour chacun, il copie soit le fichier wallet.dat, soit le répertoire d’extension navigateur correspondant.

Tokens applicatifs. Discord (token dans %APPDATA%\discord\Local Storage\leveldb), Telegram (sessions dans %APPDATA%\Telegram Desktop\tdata), Steam (ssfn files), clients FTP (FileZilla, WinSCP), clients email (Thunderbird, Outlook), VPN (OpenVPN, ProtonVPN, NordVPN configs).

Fichiers locaux. Une routine de scan parcourt %USERPROFILE%\Desktop, %USERPROFILE%\Documents et %USERPROFILE%\Downloads en filtrant sur les extensions configurées par l’affiliate (typiquement .txt, .pdf, .docx, .rtf, .key, .seed, .wallet). Les fichiers sont copiés dans le répertoire de staging si leur taille est inférieure au seuil défini.

Empreinte système (T1082, T1113). Nom d’ordinateur, nom utilisateur, langue, fuseau horaire, version Windows, processeur, RAM, GPU, adresse MAC, HWID, liste des processus en cours, liste des programmes installés, capture d’écran. Ces métadonnées sont essentielles pour les acheteurs car elles permettent de juger de la valeur du log (poste corporate ou personnel, géographie, présence d’outils d’entreprise).

Phase 4 : Exfiltration

Les données collectées sont stockées temporairement (T1074.001) dans un sous-répertoire d’%APPDATA%, puis compressées dans une archive ZIP. La structure interne est standardisée : Autofills/, Cookies/, Passwords/, History/, Wallets/, Files/, Soft/, plus un fichier System.txt à la racine qui contient l’empreinte système et un fichier UserInformation.txt avec les coordonnées géographiques estimées par IP.

L’archive est ensuite envoyée vers le C2 via un POST HTTPS (T1041), généralement vers une URL paramétrée du type /api/upload ou /post.php. L’authentification se fait par un identifiant d’affiliate inclus dans les en-têtes ou le corps de la requête.

Le volume typique d’un log LummaC2 oscille entre 200 Ko et 10 Mo selon la richesse du poste cible. Les logs corporate avec des dizaines de cookies de session SaaS valides peuvent dépasser 50 Mo si l’option de capture des fichiers locaux est activée avec un seuil de taille élevé.

L’ensemble de la chaîne, depuis l’exécution initiale jusqu’à la fin de l’upload, prend généralement entre 15 et 60 secondes. C’est la fenêtre dont dispose un EDR comportemental pour détecter et bloquer l’exfiltration.

Phase 5 : Distribution et monétisation

C’est ici que la chaîne sort du périmètre purement technique pour entrer dans l’économie cybercriminelle. Sur les canaux Telegram que nous surveillons, nous observons systématiquement le même schéma de distribution en trois temps.

Étape 1 : publication free. Quelques heures après l’exfiltration, l’affiliate publie un sous-ensemble de logs sur un canal public ou semi-public qu’il anime. Ces canaux gratuits servent de vitrine et de générateur de réputation. Le sous-ensemble publié est généralement constitué de logs à faible valeur (postes personnels grand public, géographies à faible pouvoir d’achat) mais en grand volume, parfois plusieurs dizaines de milliers de logs par jour. C’est sur ces canaux que la plateforme Stealed indexe la majorité des données qu’elle propose à ses clients en monitoring.

Étape 2 : revente cloud. Les logs à valeur intermédiaire (postes corporate identifiables, secteurs sensibles, géographies à fort revenu) sont conditionnés en archives qui sont uploadées sur des espaces de stockage cloud (MEGA, Bunkr, Gofile, Telegram Premium). L’accès est vendu à l’unité ou en lots, à des tarifs allant de quelques dollars à plusieurs centaines de dollars selon la qualité.

Étape 3 : marketplace VIP. Les logs de plus haute valeur, identifiés via des règles de tri automatisées (présence de cookies AWS, Azure, Okta, Google Workspace, GitHub corporate, accès VPN entreprise) sont gardés pour une revente individuelle sur des marketplaces fermées ou via brokerage direct. Un seul log donnant accès à un environnement cloud corporate peut se négocier entre 500 et plusieurs milliers de dollars, et constitue souvent le point d’entrée d’une intrusion plus large par un Initial Access Broker (IAB).

Cette gradation explique pourquoi le monitoring externe a une fenêtre d’efficacité réelle : les logs apparaissent d’abord sur les canaux gratuits avant d’être exploités par des acteurs ciblés. Détecter une exposition sur Telegram dans les minutes ou heures qui suivent la publication permet de réinitialiser les credentials avant qu’ils n’arrivent dans les mains d’un attaquant motivé.

Indicateurs de compromission génériques

Les IOC réseau et fichier évoluent en permanence et n’ont pas de valeur durable. En revanche, les TTPs et les comportements caractéristiques restent stables et sont reproductibles dans les règles de détection.

Réseau. Requêtes HTTPS sortantes vers des domaines récents (moins de 30 jours) derrière Cloudflare, depuis des processus système comme msbuild.exe ou regasm.exe. Requêtes HTTPS vers steamcommunity.com avec analyse du champ profil (présence d’une chaîne base32 ou ROT-encodée dans le Real Name). Requêtes Telegram sortantes depuis un poste qui n’utilise pas Telegram. Connexions vers des ASN bulletproof hosting connus.

Process et exécution. mshta.exe ou powershell.exe lancé avec une ligne de commande contenant une longue chaîne Base64 (T1059.001). Process hollowing dans BitLockerToGo.exe, msbuild.exe, regasm.exe, regsvcs.exe, explorer.exe (T1055.012). Création de processus enfants depuis des binaires d’archive (7zFM.exe, WinRAR.exe) lançant des exécutables temporaires.

Fichiers et registre. Lecture du fichier %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data depuis un processus non-Chrome. Lecture de %APPDATA%\Mozilla\Firefox\Profiles\*\logins.json depuis un processus non-Firefox. Création de %APPDATA%\Telegram Desktop\tdata depuis un autre process. Clés Run dans HKCU pointant vers AppData (T1547.001). Création d’archives ZIP volumineuses dans %APPDATA% suivies d’un upload réseau sortant.

Comportement. Détection de souris stationnaire suivie d’un sleep prolongé avant exécution principale (anti-sandbox). Désactivation programmatique d’AmsiScanBuffer (T1562.001). Appels API via syscalls directs au lieu de ntdll exportée. Le rapport CISA AA25-141B publié en mai 2025 fournit une liste de hashes et de domaines historiques utiles pour le threat hunting rétrospectif.

Le takedown Microsoft + DOJ de mai 2025 et ses limites

Le 13 mai 2025, le tribunal du district nord de la Géorgie a accordé à Microsoft une ordonnance permettant la saisie d’environ 2 300 domaines associés à l’infrastructure Lumma. Le DOJ a parallèlement saisi la structure de commande centrale, Europol via l’EC3 a coordonné l’action européenne, et le Cybercrime Control Center japonais a contribué à neutraliser une infrastructure utilisée localement. Plus de 1 300 domaines ont été redirigés vers des sinkholes Microsoft pour collecter de l’intelligence sur les victimes.

Sur la période de tracking du 16 mars au 16 mai 2025, Microsoft a comptabilisé plus de 394 000 machines Windows infectées dans le monde. Les partenaires industriels (ESET, Bitsight, Lumen, Cloudflare, CleanDNS, GMO Registry) ont participé au démantèlement de l’infrastructure DNS et hosting.

L’opération a été techniquement une réussite. Pendant plusieurs semaines, les panels affiliates étaient injoignables, les builders ne pouvaient plus s’enregistrer, et les exfiltrations en cours échouaient. C’est une démonstration claire que la collaboration public-privé peut produire un impact réel sur une infrastructure cybercriminelle.

Mais l’efficacité a été temporaire. Les analyses publiées par Bitdefender, Bleeping Computer, Lumu et Recorded Future entre l’été 2025 et le début 2026 décrivent toutes la même trajectoire : migration vers des hébergeurs bulletproof moins coopératifs, intégration de CastleLoader comme délivrance principale, reconstruction d’une infrastructure derrière Cloudflare, et retour au niveau d’activité antérieur en quelques semaines. Le rapport Recorded Future Identity Threat Landscape de 2025 confirme que LummaC2 figure de nouveau parmi les familles les plus distribuées en 2026.

La leçon pour les défenseurs n’est pas que le takedown a été inutile. C’est que les démantèlements n’éliminent pas la menace, ils la déplacent. La défense ne peut pas se reposer uniquement sur l’action policière, elle doit intégrer une posture de monitoring continu des credentials exposés.

Comment se protéger en entreprise

La protection contre LummaC2 combine prévention, détection et monitoring externe. Aucune mesure isolée ne suffit.

EDR avec heuristiques comportementales solides. Les signatures statiques sont régulièrement contournées par les nouvelles variantes du loader. Les heuristiques comportementales (process hollowing dans des binaires système signés, accès au Login Data Chromium depuis un non-Chrome, exécution PowerShell avec Base64 long depuis mshta.exe) restent efficaces parce qu’elles ciblent les TTPs que LummaC2 ne peut pas changer sans casser sa fonction principale.

MFA résistante au cookie theft. Les TOTP classiques (Google Authenticator, Authy) ne protègent pas contre le vol de cookies de session. LummaC2 collecte les cookies, et un attaquant qui les rejoue contourne le second facteur. La parade est de migrer vers WebAuthn / FIDO2 avec contrôle de l’appareil (passkeys liées au matériel), ou au minimum d’imposer un binding device-fingerprint sur les sessions sensibles.

Durcissement des binaires Living-Off-The-Land. mshta.exe, regasm.exe, regsvcs.exe, msbuild.exe sont rarement utiles dans un environnement bureautique standard. Les bloquer ou les restreindre par AppLocker ou Windows Defender Application Control élimine plusieurs vecteurs Lumma sans coût opérationnel significatif.

Sensibilisation ClickFix. Aucune solution technique ne supplée totalement la sensibilisation lorsque la victime colle volontairement une commande dans la boîte d’exécution. Inclure le ClickFix dans les modules de formation, idéalement avec un exercice pratique, est devenu indispensable.

Monitoring externe des credentials. C’est la couche que la prévention seule ne peut pas remplacer. Des credentials d’employés finiront par fuiter, ne serait-ce que via des postes BYOD ou des shadow IT. Le seul levier qui reste alors est la rapidité de détection.

Stealed et la détection LummaC2

Stealed surveille en continu les canaux Telegram, forums et marketplaces où les logs LummaC2 sont publiés. Notre infrastructure indexe les nouveaux logs dans les minutes qui suivent leur publication sur les canaux gratuits, c’est-à-dire pendant la fenêtre où les credentials ne sont pas encore exploités par des acteurs ciblés.

Concrètement, lorsqu’un log LummaC2 contenant un identifiant lié à l’un de vos domaines surveillés est publié, nous le détectons, l’enrichissons (URL, login, mot de passe en clair, date d’infection, géographie), et déclenchons une alerte vers vos canaux opérationnels (Slack, Teams, webhook, SIEM).

Stealed n’est pas un EDR et ne remplace pas une stratégie de prévention sur le poste. Stealed se positionne en aval de l’infection, pour réduire la fenêtre entre la fuite d’un credential et sa réinitialisation. Cette couche complète l’EDR et les contrôles d’accès, elle ne les remplace pas.

FAQ

Qu’est-ce que LummaC2 et qui l’opère ? LummaC2 (aussi appelé Lumma Stealer) est un infostealer commercialisé en mode Malware-as-a-Service par un acteur russophone connu sous le pseudonyme Shamel, actif depuis au moins 2022. Le malware est vendu sur des forums russophones et des canaux Telegram, à des tarifs allant de 250 à 20 000 dollars selon le niveau d’accès. Le code cible principalement les navigateurs Chromium et Gecko, les portefeuilles de cryptomonnaies, les clients Discord et Telegram, ainsi que les fichiers locaux. C’est l’un des stealers les plus déployés au monde, avec plus de 394 000 machines Windows infectées sur la seule période mars-mai 2025 d’après Microsoft.

Le takedown Microsoft et DOJ de mai 2025 a-t-il été efficace ? L’opération du 13 mai 2025 a permis de saisir, suspendre ou bloquer environ 2 300 domaines C2, dont plus de 1 300 redirigés vers des sinkholes Microsoft. Le coup a été réel mais temporaire. Les opérateurs ont migré en quelques semaines vers des hébergeurs bulletproof moins coopératifs avec les autorités, intégré le loader CastleLoader comme vecteur principal et reconstruit leur infrastructure derrière Cloudflare. Bitdefender et Bleeping Computer ont documenté un retour au niveau d’activité d’avant le takedown dès l’automne 2025, et début 2026 LummaC2 figure de nouveau parmi les familles les plus distribuées.

Quels sont les vecteurs de distribution principaux de LummaC2 en 2026 ? Quatre vecteurs dominent. D’abord le ClickFix (faux CAPTCHA invitant la victime à coller une commande dans la boîte d’exécution Windows), devenu la méthode signature en 2024-2026. Ensuite le malvertising sur les moteurs de recherche, ciblant les requêtes pour des logiciels populaires (Notepad++, OBS, AnyDesk) avec des sites cloneurs. Puis les drive-by downloads depuis des sites légitimes compromis. Enfin la distribution via cracks et keygens diffusés sur YouTube, Discord et les réseaux de partage. La technique EtherHiding, qui dissimule le payload dans des smart contracts blockchain, est apparue plus récemment pour résister au blocage par domaine.

Comment se protéger contre LummaC2 en entreprise ? La défense contre LummaC2 repose sur plusieurs couches : EDR avec signatures à jour et heuristiques comportementales, MFA résistante au vol de cookies (clés FIDO2 plutôt que TOTP seul), durcissement de mshta.exe et PowerShell par AppLocker ou WDAC, blocage des extensions de navigateur non autorisées, sensibilisation aux ClickFix et aux faux CAPTCHA, monitoring externe des credentials exposés sur Telegram et les forums cybercriminels pour réagir avant exploitation.

Quels sont les signes d’une infection LummaC2 ? Une infection LummaC2 laisse peu de traces visibles côté utilisateur car le stealer s’exécute en quelques dizaines de secondes puis disparaît. Côté SOC, les signes à surveiller sont : exécution de PowerShell ou mshta.exe avec une commande Base64 longue, accès en lecture au Login Data de Chrome ou aux profils Firefox depuis un processus inhabituel, création d’une clé Run dans HKCU\Software\Microsoft\Windows\CurrentVersion\Run pointant vers AppData, communication HTTPS sortante vers des domaines récents derrière Cloudflare, requêtes vers des profils Steam ou des canaux Telegram contenant une chaîne ROT-encodée, injection dans BitLockerToGo.exe, msbuild.exe ou explorer.exe.

Pour aller plus loin

• Qu’est-ce qu’un infostealer ? : guide complet pour comprendre le fonctionnement général des stealers et leur écosystème.
• Glossaire infostealer : définitions des termes techniques utilisés dans cet article.
• Cartographie des canaux Telegram de logs infostealers en 2026 : analyse de l’écosystème de distribution Telegram.
• Top stealers Q2 2026 : classement trimestriel des familles les plus actives.
• Comment détecter une fuite d’identifiants : guide opérationnel pour les équipes de sécurité.

Sources externes

• Microsoft On The Issues, Disrupting Lumma Stealer: Microsoft leads global action against favored cybercrime tool (mai 2025).
• Microsoft Security Blog, Lumma Stealer: Breaking down the delivery techniques and capabilities of a prolific infostealer (mai 2025).
• MITRE ATT&CK, Lumma Stealer (S1213).
• Europol, Europol and Microsoft disrupt world’s largest infostealer Lumma (mai 2025).
• CISA, Threat Actors Deploy LummaC2 Malware to Exfiltrate Sensitive Data from Organizations (AA25-141B) (mai 2025).
• Bitdefender Labs, LummaStealer Is Getting a Second Life Alongside CastleLoader.
• Bleeping Computer, LummaStealer infections surge after CastleLoader malware campaigns.
• Malpedia, Lumma Stealer entry.
• Securelist (Kaspersky), How Lumma Stealer sneaks into organizations.

---

Recevez le prochain rapport trimestriel Stealed. Nos analystes publient chaque trimestre une synthèse des familles d’infostealers les plus actives, des canaux Telegram émergents et des tendances de monétisation. Inscrivez-vous à la newsletter pour la recevoir directement.

Discutez de votre exposition LummaC2 avec notre CTO. Si vous voulez comprendre concrètement combien d’identifiants liés à votre organisation circulent dans les logs LummaC2 actuels, prenez rendez-vous : discuter de votre exposition.