Unduhan palsu The Odyssey mulai menyebarkan malware Lumma Stealer melalui file yang disamarkan sebagai rilis film berkualitas tinggi, membahayakan dompet kripto, kata sandi, dan sesi peramban.
Bitdefender melaporkan pada 6 Agustus bahwa para penelitinya menemukan file eksekusi Windows berbahaya menggunakan nama file yang dirancang menyerupai salinan bajakan The Odyssey, hanya beberapa hari setelah film tersebut dirilis.
Disamarkan sebagai file video, unduhan tersebut menggunakan label torrent yang umum seperti 1080p, WEBRip, Blu-ray, dan H264 untuk membuat daftar terlihat asli. Bitdefender mengidentifikasi nama file termasuk “the odyssey 2160phd (2026) engsubs eztv.exe,” “the odyssey 2026 1080p h264-djt.exe,” dan “the odyssey 2026 1080p webrip-lama.exe.”
Alih-alih membuka film, setiap file .exe meluncurkan perangkat lunak yang dibuat untuk menginfeksi komputer Windows. Bitdefender mengatakan produk keamanannya mencegah pengguna mengunduh atau menjalankan file yang terdeteksi, meskipun para peneliti memperingatkan bahwa nama file lain mungkin juga beredar.
Penyerang dapat membuat penyamaran lebih sulit dideteksi dengan mengubah ikon file eksekusi agar menyerupai VLC Media Player atau file video biasa. Instalasi Windows menyembunyikan ekstensi file yang dikenal secara default, menurut Bitdefender, yang berarti pengguna mungkin melihat nama bergaya film dan ikon VLC tanpa menyadari akhiran .exe.
Orang yang mencari di situs torrent mungkin juga mengharapkan nama file yang tidak biasa, folder terkompresi, atau pemutar video bawaan, memberikan lapisan penyamaran tambahan pada file berbahaya. Bitdefender mengatakan umpan tersebut tidak memerlukan trik yang rumit karena korban sudah memutuskan untuk mengunduh salinan tidak resmi dari sumber yang tidak terverifikasi.
Setelah dieksekusi, Lumma Stealer mencari komputer yang terinfeksi untuk menemukan kata sandi peramban, informasi pembayaran yang tersimpan, catatan isi otomatis, kredensial desktop jarak jauh, dan data dompet mata uang kripto, menurut perusahaan keamanan tersebut.
Malware ini juga mengumpulkan cookie otentikasi peramban. Bitdefender memperingatkan bahwa cookie yang dicuri dapat memungkinkan penyerang mengambil alih sesi akun yang aktif bahkan ketika korban telah mengaktifkan autentikasi multifaktor, karena pelaku kejahatan dapat menggunakan kembali sesi yang sudah melewati pemeriksaan login.
Dikenal sebagai LummaC2, malware ini adalah pencuri informasi yang dikembangkan di Rusia dan dijual kepada penjahat lain sebagai layanan, menurut Bitdefender dan otoritas A.S. Ketersediaannya melalui pasar gelap memungkinkan pembeli untuk menjalankan kampanye pencurian data tanpa harus membuat malware mereka sendiri.
Selama pemeriksaannya terhadap file Odyssey, Bitdefender mengamati upaya untuk menghubungi infrastruktur command-and-control yang terkait dengan Lumma Stealer. Para peneliti mengidentifikasi domain auditva[.]cyou, myroayy[.]cyou, dan logmabx[.]click, yang dikatakan perusahaan telah diblokir untuk pelanggannya.
Tidak seperti beberapa versi sebelumnya, sampel yang ditemukan dalam kampanye film terbaru tidak menggunakan dropper atau alat persistensi terpisah, kata Bitdefender. Para operator tampaknya puas dengan mengumpulkan dan mengirimkan informasi yang tersedia selama eksekusi awal.
Serangan Lumma berbasis film sebelumnya menggunakan metode tambahan untuk menghindari deteksi. Bitdefender menemukan eksekusi tertunda ketika perangkat lunak keamanan terdeteksi, pengiriman payload terenkripsi melalui skrip AutoIt, dan pemeriksaan lainnya dalam kampanye tahun 2025 yang dibangun di sekitar salinan palsu Mission: Impossible – The Final Reckoning.
Bagi pemegang kripto di A.S., LummaC2 telah menarik tindakan dari penegak hukum federal. Pada Mei 2025, Departemen Kehakiman memperoleh surat perintah untuk menyita lima domain internet yang digunakan oleh administrator malware, sementara Microsoft mengajukan kasus perdata terpisah yang mencakup sekitar 2.300 domain lain yang terkait dengan operasi tersebut.
Dokumen pengadilan yang dikutip oleh departemen tersebut mengatakan FBI telah mengidentifikasi setidaknya 1,7 juta kasus di mana LummaC2 digunakan untuk mencuri informasi. Target yang terdaftar termasuk catatan peramban, detail login email dan bank, data isi otomatis, dan frasa benih kripto yang dapat memberikan akses ke dompet aset virtual.
“Malware seperti LummaC2 digunakan untuk mencuri informasi sensitif seperti kredensial login pengguna dari jutaan korban untuk memfasilitasi berbagai kejahatan, termasuk transfer bank palsu dan pencurian mata uang kripto,” kata Matthew Galeotti, yang saat itu menjabat kepala Divisi Kriminal Departemen Kehakiman, dalam pengumuman tersebut.
Operasi federal menyita dua domain pada 19 Mei 2025. Setelah administrator LummaC2 memberi tahu pelanggan tentang tiga domain pengganti keesokan harinya, otoritas A.S. juga menyita alamat baru tersebut, menurut departemen.
Bersamaan dengan penyitaan tersebut, Badan Keamanan Siber dan Infrastruktur (CISA) dan FBI mengeluarkan nasihat teknis yang menjelaskan bagaimana LummaC2 memasuki komputer dan menghapus informasi sensitif. Departemen Kehakiman mengarahkan orang-orang yang percaya bahwa perangkat telah dikompromikan untuk menghubungi Pusat Pengaduan Kejahatan Internet FBI atau kantor lapangan setempat.
Munculnya domain baru yang terkait dengan Lumma dalam temuan Bitdefender tahun 2026 menunjukkan bahwa kampanye malware yang menggunakan keluarga ini terus berlanjut setelah operasi penegakan hukum tahun 2025. Bitdefender tidak memberikan jumlah korban, estimasi kerugian kripto, atau rincian geografis untuk kampanye Odyssey.
Torrent film adalah salah satu bagian dari serangkaian kampanye malware yang mengemas kode berbahaya di dalam konten, aplikasi, atau alat yang dicari secara aktif oleh pengguna.
Awal Agustus, crypto.news melaporkan bahwa Microsoft telah menemukan kampanye CAPTCHA palsu yang menggunakan kontrak pintar BNB Chain untuk mengambil instruksi serangan. Microsoft mengatakan operasi tersebut menargetkan ribuan perangkat konsumen dan bisnis setiap hari dan mengirimkan beberapa keluarga malware, termasuk Lumma Stealer.
Alih-alih mengunduh film, orang-orang yang terjebak dalam kampanye tersebut diinstruksikan untuk membuka Windows Run, Terminal, atau PowerShell dan menempelkan perintah yang diberikan oleh penyerang. Microsoft memperingatkan bahwa infeksi yang berhasil dapat mengekspos kredensial, menginstal alat akses jarak jauh, dan menciptakan titik masuk untuk ransomware.
Pengguna seluler menghadapi bentuk pencurian dompet yang berbeda. Pada bulan Juli, laporan kembali menyoroti malware seluler SparkKitty, yang sebelumnya ditemukan Kaspersky di dalam aplikasi iOS, Android, dan pihak ketiga. Spyware tersebut mengumpulkan gambar dari galeri ponsel, di mana beberapa pengguna menyimpan tangkapan layar frasa pemulihan dompet, kata sandi, dan kode QR.
Alat pengembang juga telah menjadi rute pengiriman. Socket mengungkapkan pada bulan Mei bahwa kampanye malware TrapDoor melibatkan setidaknya 34 paket berbahaya dan 384 versi terkait di seluruh repositori npm, PyPI, dan Rust. Menurut perusahaan keamanan, paket-paket tersebut menargetkan pengembang kripto dan kecerdasan buatan sambil mencari data dompet, token GitHub, kredensial cloud, dan kunci SSH.
Untuk kampanye film terbaru, Bitdefender menyarankan pengguna untuk menonton film melalui layanan streaming resmi, menghindari file eksekusi yang diiklankan sebagai video, dan menjaga Windows serta perangkat lunak keamanan tetap mutakhir. Perusahaan juga merekomendasikan untuk mengaktifkan ekstensi file di Windows Explorer agar file .exe tidak tampak seperti film biasa.
