Piratenkopien von "The Odyssey" zielen auf Krypto-Wallets ab

Gefälschte Downloads von „The Odyssey“ verbreiten Lumma-Stealer-Malware über Dateien, die als hochwertige Filmveröffentlichungen getarnt sind, und setzen Krypto-Wallets, Passwörter und Browser-Sitzungen einem Risiko aus.

Bitdefender berichtete am 6. August, dass seine Forscher bösartige Windows-Executables gefunden hatten, die Dateinamen verwenden, die dazu entworfen wurden, Raubkopien von „The Odyssey“ zu ähneln, nur wenige Tage nach der Veröffentlichung des Films.

„The Odyssey“-Downloads verbergen Windows-Executables

Als Videodateien getarnt, verwenden die Downloads vertraute Torrent-Labels wie 1080p, WEBRip, Blu-ray und H264, um die Einträge authentisch erscheinen zu lassen. Bitdefender identifizierte Dateinamen wie „the odyssey 2160phd (2026) engsubs eztv.exe“, „the odyssey 2026 1080p h264-djt.exe“ und „the odyssey 2026 1080p webrip-lama.exe“.

Anstatt einen Film zu öffnen, startet jede .exe-Datei eine Software, die dazu entwickelt wurde, einen Windows-Computer zu infizieren. Bitdefender sagte, dass seine Sicherheitsprodukte Benutzer daran hinderten, die erkannten Dateien herunterzuladen oder auszuführen, obwohl die Forscher warnten, dass auch andere Dateinamen im Umlauf sein könnten.

Angreifer können die Tarnung schwerer erkennbar machen, indem sie das Symbol der ausführbaren Datei so ändern, dass es VLC Media Player oder einer gewöhnlichen Videodatei ähnelt. Windows-Installationen verbergen bekannte Dateierweiterungen standardmäßig, so Bitdefender, was bedeutet, dass ein Benutzer einen filmähnlichen Namen und ein VLC-Symbol sehen kann, ohne die .exe-Endung zu bemerken.

Menschen, die Torrent-Seiten durchsuchen, könnten auch ungewöhnliche Dateinamen, komprimierte Ordner oder einen gebündelten Videoplayer erwarten, was der bösartigen Datei eine weitere Tarnschicht verleiht. Bitdefender sagte, dass der Köder keinen komplexen Trick erfordert, weil das Opfer bereits beschlossen hat, eine inoffizielle Kopie von einer unverifizierten Quelle herunterzuladen.

Lumma Stealer kann Wallets und Browser-Sitzungen erfassen

Sobald es ausgeführt wird, durchsucht Lumma Stealer den infizierten Computer nach Browser-Passwörtern, gespeicherten Zahlungsinformationen, Autofill-Datensätzen, Remote-Desktop-Anmeldeinformationen und Kryptowährungs-Wallet-Daten, so die Sicherheitsfirma.

Die Malware sammelt auch Browser-Authentifizierungs-Cookies. Bitdefender warnte, dass gestohlene Cookies es einem Angreifer ermöglichen können, eine aktive Kontositzung zu übernehmen, selbst wenn das Opfer die Multi-Faktor-Authentifizierung aktiviert hat, da der Kriminelle eine Sitzung wiederverwenden kann, die die Anmeldeprüfung bereits bestanden hat.

Bekannt als LummaC2, ist die Malware ein Informationsdieb, der in Russland entwickelt und als Dienstleistung an andere Kriminelle verkauft wird, so Bitdefender und US-Behörden. Seine Verfügbarkeit über Untergrundmärkte ermöglicht es Käufern, Datendiebstahl-Kampagnen durchzuführen, ohne ihre eigene Malware zu entwickeln.

Im Gegensatz zu einigen früheren Versionen verwendeten die in der neuesten Filmkampagne gefundenen Proben keine separaten Dropper oder Persistenz-Tools, so Bitdefender. Die Betreiber schienen stattdessen zufrieden damit zu sein, verfügbare Informationen während der ersten Ausführung zu sammeln und zu senden.

Frühere filmbasierte Lumma-Angriffe verwendeten zusätzliche Methoden, um der Erkennung zu entgehen. Bitdefender fand verzögerte Ausführung, wenn Sicherheitssoftware vorhanden war, verschlüsselte Payload-Zustellung über AutoIt-Skripte und andere Prüfungen in einer Kampagne von 2025, die um gefälschte Kopien von „Mission: Impossible – The Final Reckoning“ aufgebaut war.

US-Behörden haben zuvor LummaC2-Infrastruktur gestört

Für US-Krypto-Inhaber hat LummaC2 bereits Maßnahmen der Bundesstrafverfolgung ausgelöst. Im Mai 2025 erwirkte das Justizministerium Durchsuchungsbefehle, um fünf Internet-Domains zu beschlagnahmen, die von den Administratoren der Malware verwendet wurden, während Microsoft eine separate Zivilklage einreichte, die etwa 2.300 andere mit dem Betrieb verbundene Domains abdeckte.

Vom Ministerium zitierte Gerichtsdokumente besagten, dass das FBI mindestens 1,7 Millionen Fälle identifiziert habe, in denen LummaC2 zum Stehlen von Informationen verwendet wurde. Zu den aufgeführten Zielen gehörten Browserverläufe, E-Mail- und Bankanmeldedaten, Autofill-Daten sowie Krypto-Seed-Phrasen, die Zugriff auf Wallets für virtuelle Vermögenswerte ermöglichen könnten.

„Schadsoftware wie LummaC2 wird eingesetzt, um sensible Informationen wie Benutzeranmeldedaten von Millionen von Opfern zu stehlen, um eine Reihe von Straftaten zu ermöglichen, darunter betrügerische Überweisungen und Kryptowährungsdiebstahl“, sagte Matthew Galeotti, damaliger Leiter der Strafrechtsabteilung des Justizministeriums, in der Ankündigung.

Die Bundesoperation beschlagnahmte am 19. Mai 2025 zwei Domains. Nachdem LummaC2-Administratoren Kunden am nächsten Tag über drei Ersatzdomains informiert hatten, beschlagnahmten die US-Behörden laut Ministerium auch die neuen Adressen.

Neben den Beschlagnahmungen gaben die Cybersecurity and Infrastructure Security Agency und das FBI einen technischen Hinweis heraus, der beschreibt, wie LummaC2 in Computer eindringt und sensible Informationen entfernt. Das Justizministerium forderte Personen, die glauben, dass ein Gerät kompromittiert wurde, auf, sich an das Internet Crime Complaint Center des FBI oder eine örtliche Außenstelle zu wenden.

Das Auftauchen neuer Lumma-bezogener Domains in den Bitdefender-Erkenntnissen von 2026 deutet darauf hin, dass Malware-Kampagnen, die die Familie verwenden, auch nach der Durchsetzungsaktion von 2025 fortgesetzt wurden. Bitdefender lieferte keine Opferzahl, keinen geschätzten Krypto-Verlust und keine geografische Aufschlüsselung für die Odyssey-Kampagne.

Krypto-Malware nutzt vertraute Inhalte als Köder

Film-Torrents sind Teil einer Reihe von Malware-Kampagnen, die schädlichen Code in Inhalten, Anwendungen oder Tools verpacken, die Benutzer aktiv suchen.

Bereits Anfang August berichtete crypto.news, dass Microsoft eine gefälschte CAPTCHA-Kampagne gefunden habe, die BNB-Chain-Smart-Contracts verwendet, um Angriffsanweisungen abzurufen. Microsoft sagte, die Operation habe täglich Tausende von Verbraucher- und Geschäftsgeräten ins Visier genommen und mehrere Malware-Familien ausgeliefert, darunter Lumma Stealer.

Anstatt einen Film herunterzuladen, wurden Personen, die in diese Kampagne gerieten, angewiesen, Windows Run, Terminal oder PowerShell zu öffnen und einen vom Angreifer bereitgestellten Befehl einzufügen. Microsoft warnte, dass erfolgreiche Infektionen Anmeldeinformationen offenlegen, Remote-Zugriffstools installieren und einen Einstiegspunkt für Ransomware schaffen könnten.

Mobile Benutzer waren mit einer anderen Form von Wallet-Diebstahl konfrontiert. Im Juli erregten Berichte erneut Aufmerksamkeit um SparkKitty-Mobilmalware, die Kaspersky zuvor in iOS-, Android- und Drittanbieter-Apps gefunden hatte. Die Spyware sammelte Bilder aus Telefongalerien, in denen einige Benutzer Screenshots von Wallet-Wiederherstellungsphrasen, Passwörtern und QR-Codes gespeichert hatten.

Auch Entwicklertools sind zu einem Verteilungsweg geworden. Socket gab im Mai bekannt, dass die TrapDoor-Malware-Kampagne mindestens 34 schädliche Pakete und 384 verbundene Versionen in npm-, PyPI- und Rust-Repositories umfasste. Laut dem Sicherheitsunternehmen zielten die Pakete auf Krypto- und KI-Entwickler ab und suchten nach Wallet-Daten, GitHub-Tokens, Cloud-Anmeldeinformationen und SSH-Schlüsseln.

Für die neueste Filmkampagne riet Bitdefender Benutzern, Filme über legitime Streaming-Dienste anzusehen, ausführbare Dateien zu vermeiden, die als Videos beworben werden, und Windows und Sicherheitssoftware auf dem neuesten Stand zu halten. Das Unternehmen empfahl außerdem, Dateierweiterungen im Windows Explorer zu aktivieren, damit eine .exe-Datei nicht wie ein gewöhnlicher Film erscheinen kann.