Lumma Stealer: Infostealer-Kampagne zielt auf DACH-Unternehmen via gefälschte Bewerbungs-PDFs

Eine groß angelegte Kampagne nutzt gefälschte Bewerbungsunterlagen als Köder, um den Lumma Stealer auf Unternehmensrechnern zu installieren. Der Infostealer extrahiert gespeicherte Passwörter, Session-Cookies und Krypto-Wallets innerhalb von Sekunden.

Angriffsvektor

Die Angreifer versenden professionell gestaltete E-Mails mit dem Betreff "Bewerbung auf Ihre ausgeschriebene Stelle". Im Anhang befindet sich eine vermeintliche PDF-Datei, die jedoch ein verschleiertes PowerShell-Skript enthält.

Beim Öffnen wird der Lumma Stealer heruntergeladen und im Speicher ausgeführt — ohne auf die Festplatte geschrieben zu werden (fileless execution). Dies erschwert die Erkennung durch traditionelle Antivirenlösungen erheblich.

Gestohlene Daten

Der Lumma Stealer zielt auf folgende Datenquellen ab:

• Browser-Passwörter (Chrome, Firefox, Edge)
• Session-Cookies für Cloud-Dienste (Microsoft 365, Google Workspace)
• Kryptowährungs-Wallets (MetaMask, Phantom, Ledger Live)
• VPN-Konfigurationen und gespeicherte Zugangsdaten
• Autofill-Daten und Kreditkarteninformationen

Erkennungsmerkmale

Verdächtige Indikatoren sind E-Mails von Freemail-Adressen mit professionell klingenden Absendernamen, PDF-Dateien mit ungewöhnlich kleiner Dateigröße (unter 100 KB), und PowerShell-Ausführungen im Kontext von Adobe Reader oder ähnlichen PDF-Viewern.