Ang mga pekeng pag-download ng The Odyssey ay nagsimula nang magpakalat ng Lumma Stealer malware sa pamamagitan ng mga file na nagkukubli bilang mga de-kalidad na release ng pelikula, na naglalagay sa panganib ng mga crypto wallet, password, at session ng browser.
BNB.exe file na nagkukubli bilang 1080p, WEBRip, at Blu-ray na release.Iniulat ng Bitdefender noong Agosto 6 na natuklasan ng mga mananaliksik nito ang mga mapanirang executable ng Windows na gumagamit ng mga filename na idinisenyo upang maging katulad ng mga pirated na kopya ng The Odyssey, ilang araw lamang pagkatapos ilabas ang pelikula.
Nagtatago bilang mga video file, ang mga pag-download ay gumagamit ng pamilyar na mga label ng torrent tulad ng 1080p, WEBRip, Blu-ray, at H264 upang gawing mukhang tunay ang mga listahan. Tinukoy ng Bitdefender ang mga filename kabilang ang "the odyssey 2160phd (2026) engsubs eztv.exe," "the odyssey 2026 1080p h264-djt.exe," at "the odyssey 2026 1080p webrip-lama.exe."
Sa halip na magbukas ng pelikula, ang bawat .exe file ay naglulunsad ng software na binuo upang maapektuhan ang isang Windows computer. Sinabi ng Bitdefender na pinigilan ng mga produkto ng seguridad nito ang mga user na mag-download o magpatakbo ng mga natukoy na file, bagama't nagbabala ang mga mananaliksik na maaaring may iba pang mga filename na kumakalat din.
Maaaring gawing mas mahirap makita ng mga attacker ang pagkubli sa pamamagitan ng pagpapalit ng icon ng executable upang maging katulad ng VLC Media Player o isang ordinaryong video file. Ayon sa Bitdefender, itinago ng mga instalasyon ng Windows ang mga kilalang extension ng file bilang default, na nangangahulugang maaaring makita ng isang user ang isang pangalan na parang pelikula at icon ng VLC nang hindi napapansin ang .exe na pagtatapos.
Ang mga taong naghahanap sa mga torrent site ay maaaring umasa din ng hindi pangkaraniwang mga filename, mga naka-compress na folder, o isang naka-bundle na video player, na nagbibigay sa mapanirang file ng isa pang layer ng pagtatago. Sinabi ng Bitdefender na ang pain ay hindi nangangailangan ng kumplikadong panlilinlang dahil nagpasya na ang biktima na mag-download ng isang hindi opisyal na kopya mula sa isang hindi beripikadong pinagmulan.
Kapag naisakatuparan, hahanapin ng Lumma Stealer ang nahawahan na computer para sa mga password ng browser, naka-save na impormasyon sa pagbabayad, mga tala ng autofill, mga kredensyal ng remote desktop, at data ng cryptocurrency wallet, ayon sa security firm.
Kinokolekta din ng malware ang mga cookie ng pagpapatunay ng browser. Nagbabala ang Bitdefender na ang mga nakaw na cookie ay maaaring magpahintulot sa isang attacker na sakupin ang isang aktibong session ng account kahit na pinagana ng biktima ang multi-factor authentication, dahil maaaring gamitin muli ng kriminal ang isang session na nakapasa na sa login check.
Kilala bilang LummaC2, ang malware ay isang magnanakaw ng impormasyon na binuo sa Russia at ibinebenta sa ibang mga kriminal bilang isang serbisyo, ayon sa Bitdefender at mga awtoridad ng U.S. Ang pagkakaroon nito sa pamamagitan ng mga underground market ay nagpapahintulot sa mga mamimili na magpatakbo ng mga kampanya ng pagnanakaw ng data nang hindi gumagawa ng sarili nilang malware.
Sa pagsusuri nito sa mga file ng Odyssey, naobserbahan ng Bitdefender ang mga pagtatangka na makipag-ugnayan sa imprastraktura ng command-and-control na nauugnay sa Lumma Stealer. Natukoy ng mga mananaliksik ang mga domain na auditva[.]cyou, myroayy[.]cyou at logmabx[.]click, na sinabi ng kumpanya na hinarangan nito para sa mga customer nito.
Hindi tulad ng ilang naunang bersyon, ang mga sample na natuklasan sa pinakabagong kampanya ng pelikula ay hindi gumamit ng hiwalay na mga dropper o tool sa pagpapanatili, ayon sa Bitdefender. Ang mga operator sa halip ay tila nasiyahan sa pagkolekta at pagpapadala ng magagamit na impormasyon sa panahon ng paunang pagpapatupad.
Gumamit ang mga naunang pag-atake ng Lumma na batay sa pelikula ng mga karagdagang pamamaraan upang maiwasan ang pagtuklas. Natuklasan ng Bitdefender ang naantalang pagpapatupad kapag mayroong security software, naka-encrypt na paghahatid ng payload sa pamamagitan ng mga script ng AutoIt, at iba pang mga pagsusuri sa isang kampanya noong 2025 na binuo sa paligid ng mga pekeng kopya ng Mission: Impossible – The Final Reckoning.
Para sa mga may-hawak ng crypto sa U.S., nakakuha na ng aksyon mula sa pederal na pagpapatupad ng batas ang LummaC2. Noong Mayo 2025, nakakuha ang Kagawaran ng Hustisya ng mga warrant upang kumpiskahin ang limang domain ng internet na ginamit ng mga administrator ng malware, habang naghain ang Microsoft ng hiwalay na kasong sibil na sumasaklaw sa humigit-kumulang 2,300 iba pang domain na konektado sa operasyon.
Sinabi ng mga dokumento ng korte na sinipi ng departamento na natukoy ng FBI ang hindi bababa sa 1.7 milyong kaso kung saan ginamit ang LummaC2 upang magnakaw ng impormasyon. Kabilang sa mga nakalistang target ang mga talaan ng browser, mga detalye ng pag-login sa email at bangko, data ng autofill, at mga crypto seed phrase na maaaring magbigay ng access sa mga virtual asset wallet.
"Ang malware tulad ng LummaC2 ay ipinapakalat upang magnakaw ng sensitibong impormasyon tulad ng mga kredensyal sa pag-login ng user mula sa milyon-milyong biktima upang mapadali ang isang host ng mga krimen, kabilang ang mapanlinlang na bank transfers at pagnanakaw ng cryptocurrency," sabi ni Matthew Galeotti, noon-pinuno ng Criminal Division ng Kagawaran ng Hustisya, sa anunsyo.
Kinuha ng operasyong pederal ang dalawang domain noong Mayo 19, 2025. Matapos sabihin ng mga administrator ng LummaC2 sa mga customer ang tungkol sa tatlong kapalit na domain kinabukasan, kinuha rin ng mga awtoridad ng U.S. ang mga bagong address, ayon sa departamento.
Bukod sa mga pagkuha, ang Cybersecurity and Infrastructure Security Agency at ang FBI ay naglabas ng teknikal na payo na naglalarawan kung paano nakakapasok ang LummaC2 sa mga computer at nagtatanggal ng sensitibong impormasyon. Itinuro ng Kagawaran ng Hustisya sa mga taong naniniwala na nakompromiso ang isang device na makipag-ugnayan sa Internet Crime Complaint Center ng FBI o sa isang lokal na field office.
Ang paglitaw ng mga bagong domain na konektado sa Lumma sa mga natuklasan ng Bitdefender noong 2026 ay nagpapahiwatig na ang mga kampanya ng malware na gumagamit ng pamilya ay nagpatuloy pagkatapos ng operasyon ng pagpapatupad noong 2025. Hindi nagbigay ang Bitdefender ng bilang ng biktima, tinantyang pagkalugi sa crypto, o pagkakabahagi ayon sa heograpiya para sa kampanya ng Odyssey.
Ang mga torrent ng pelikula ay isang bahagi ng isang serye ng mga kampanya ng malware na naglalagay ng nakakapinsalang code sa loob ng nilalaman, mga aplikasyon, o mga tool na aktibong hinahanap ng mga user.
Mas maaga noong Agosto, iniulat ng crypto.news na natuklasan ng Microsoft ang isang pekeng kampanya ng CAPTCHA na gumagamit ng mga smart contract ng BNB Chain upang kunin ang mga tagubilin sa pag-atake. Sinabi ng Microsoft na tinarget ng operasyon ang libu-libong consumer at business device bawat araw at naghatid ng ilang pamilya ng malware, kabilang ang Lumma Stealer.
Sa halip na mag-download ng pelikula, ang mga taong nahuli sa kampanyang iyon ay inutusan na buksan ang Windows Run, Terminal, o PowerShell at idikit ang isang command na ibinigay ng attacker. Nagbabala ang Microsoft na ang matagumpay na impeksyon ay maaaring maglantad ng mga kredensyal, mag-install ng mga tool sa remote-access, at lumikha ng isang entry point para sa ransomware.
Ang mga mobile user ay nakaranas ng ibang uri ng pagnanakaw ng wallet. Noong Hulyo, binago ng mga ulat ang atensyon sa SparkKitty mobile malware, na natuklasan noon ng Kaspersky sa loob ng iOS, Android, at mga third-party na aplikasyon. Kinolekta ng spyware ang mga larawan mula sa mga gallery ng telepono, kung saan iniimbak ng ilang user ang mga screenshot ng mga parirala sa pag-recover ng wallet, password, at QR code.
Ang mga tool ng developer ay naging daan din sa paghahatid. Ibinunyag ng Socket noong Mayo na ang kampanya ng malware na TrapDoor ay kinasangkutan ng hindi bababa sa 34 na nakakapinsalang package at 384 na konektadong bersyon sa mga repositoryo ng npm, PyPI, at Rust. Ayon sa security company, tinarget ng mga package ang mga developer ng crypto at artificial intelligence habang naghahanap ng data ng wallet, mga token ng GitHub, mga kredensyal ng cloud, at mga SSH key.
Para sa pinakabagong kampanya ng pelikula, pinayuhan ng Bitdefender ang mga user na manood ng mga pelikula sa pamamagitan ng mga lehitimong serbisyo ng streaming, iwasan ang mga executable na ipinapahayag bilang video, at panatilihing updated ang Windows at security software. Inirekomenda din ng kumpanya ang pagpapagana ng mga extension ng file sa Windows Explorer upang ang isang .exe file ay hindi lumabas na isang ordinaryong pelikula.
