Infostealer Lumma evoluciona con un nuevo método anti-sandbox

La versión LummaC2 v4.0 del malware de robo de información ha implementado una técnica de evasión basada en trigonometría para detectar actividad humana. Este método busca evitar la detección en entornos de análisis de malware (sandboxes) mediante el monitoreo del movimiento del cursor.

El malware de robo de información Lumma ha evolucionado hacia la versión LummaC2 v4.0, incorporando técnicas avanzadas para evadir sistemas de análisis. Esta nueva versión, que opera bajo el modelo de Malware como Servicio (MaaS), utiliza cálculos trigonométricos para validar si el movimiento del ratón es ejecutado por un usuario real o por un proceso automatizado en una sandbox.

Evasión mediante comportamiento humano

El mecanismo de LummaC2 v4.0 funciona capturando y analizando las posiciones del cursor. El malware requiere un movimiento continuo y suave para activarse; si el sistema no detecta un patrón de movimiento humano mediante trigonometría, el proceso se reinicia automáticamente. Esta técnica busca engañar a las herramientas de seguridad que simulan interacciones para analizar el comportamiento del código.

Capacidades y persistencia

El objetivo principal de LummaC2 v4.0 es la exfiltración de datos sensibles, específicamente credenciales de inicio de sesión y detalles de tarjetas de crédito. El investigador de amenazas Alberto Marín, de Outpost24, indica que el malware se encuentra en desarrollo activo desde diciembre de 2022. El análisis muestra que la cepa es dinámica y mejora constantemente su base de código, incluyendo nuevas técnicas de ofuscación y actualizaciones en su panel de control.

Por qué importa y qué hacer

La sofisticación de LummaC2 v4.0 representa un desafío para las capacidades de detección automática, ya que el uso de trigonometría para validar la interacción humana dificulta el análisis en entornos controlados. Para las organizaciones, esto significa que el malware puede permanecer activo y recolectar datos críticos antes de ser detectado por herramientas de inspección estándar. La persistencia de este malware en foros desde finales de 2022 confirma su vigencia como una amenaza para la seguridad de la información financiera y de identidad.

• Monitorear el tráfico de red en busca de conexiones sospechosas hacia dominios de comando y control (C2).
• Implementar soluciones de endpoint (EDR) que analicen el comportamiento del proceso en tiempo real.
• Bloquear el acceso a sitios de phishing identificados como vectores de distribución de Lumma.
• Capacitar a los usuarios en la identificación de intentos de phishing para evitar la ejecución inicial del malware.

Relacionado:
El firewall de paquetes de GitHub bloquea versiones nuevas en npm
AWS lanza un entorno de pruebas de código abierto para agentes de IA
El modelo Mythos de Anthropic demuestra su gran capacidad matemática

Fuente:
https://www.infosecurity-magazine.com/news/lumma-new-anti-sandbox-method/

Nota elaborada por Ciberseguridad en español a partir de información publicada por Infosecurity Magazine. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.