Microsoft e Europol Desmantelam Malware Lumma que Infectou Quase 400 Mil Computadores no Mundo

A Microsoft, em parceria com a Europol, anunciou o desmantelamento bem-sucedido do malware Lumma, responsável por infectar cerca de 394 mil computadores com Windows em todo o mundo. O ataque, que teve seu impacto principal entre 16 de março e 16 de maio de 2025, focava no roubo de dados pessoais e financeiros, mas já foi resolvido.

O Que Era o Lumma e Por Que Era Perigoso

Conhecido como o “infostealer” (ladrão de informações) mais abrangente do mundo, o Lumma operava como uma plataforma de Malware-as-a-Service (MaaS). Desde seu surgimento em 2022, o malware era comercializado em fóruns clandestinos, permitindo que cibercriminosos roubassem informações sensíveis em grande escala.

Sua operação estava focada na coleta de credenciais roubadas, dados financeiros e pessoais, tornando-o um centro de roubo de identidade e fraude global. A capacidade do Lumma de operar de forma eficiente e discreta o tornou uma ferramenta preferida dos criminosos cibernéticos, que acessavam dados para exploração e venda no mercado negro. Sua facilidade de distribuição e a capacidade de evitar a detecção o tornaram um recurso valioso para criminosos, incluindo agentes de ransomware conhecidos como o Octo Tempest.

Como a Microsoft Desarticulou o Ataque

A Unidade de Crimes Digitais (DCU) da Microsoft entrou com uma ação judicial em 13 de maio no Tribunal Distrital dos EUA para o Distrito Norte da Geórgia. Com uma ordem judicial em mãos, eles iniciaram o desmantelamento da infraestrutura técnica subjacente do malware.

A colaboração com a Europol e outros parceiros internacionais foi crucial para coordenar as ações e compartilhar informações, permitindo que as comunicações entre a ferramenta maliciosa e suas vítimas fossem interrompidas. A operação também envolveu o redirecionamento de mais de 1.300 domínios para domínios controlados pela Microsoft, facilitando o monitoramento e o rastreamento de atividades cibercriminosas e fornecendo inteligência vital para futuras proteções.

Impacto do Ataque Cibernético e o Perfil do Criador

O mapa de calor da propagação do malware mostrava claramente que as áreas com alta atividade do Lumma estavam centralizadas em certas regiões. Por meio de campanhas de phishing disfarçadas de entidades conhecidas como Booking.com, os operadores do Lumma conseguiam enganar inúmeras vítimas, levando-as a revelar informações confidenciais.

Um caso notável ocorreu em março de 2025, quando a Microsoft identificou uma campanha de phishing simulando comunicações do Booking.com, explorando credenciais através de uma série de e-mails falsos e verificações fraudulentas de CAPTCHA. Esses esforços permitiram que criminosos realizassem fraudes e roubos financeiros em larga escala, comprometendo setores importantes, da indústria à educação.

No centro do desenvolvimento do Lumma está supostamente um indivíduo conhecido como “Shamel”, um programador russo. Shamel utilizou várias plataformas de mensagens para comercializar diversas versões do malware, oferecendo diferentes níveis de serviço baseados nas necessidades dos criminosos. Esses serviços permitiam ajustes personalizados do malware, bem como ferramentas para contornar defesas e analisar tráfego.

O modelo de negócios desenvolvido em torno do Lumma destaca a evolução do crime cibernético, que agora adota práticas comerciais estabelecidas para maximizar sua receita ilícita. Shamel, com quase 400 clientes ativos, segundo uma entrevista de novembro de 2023, simbolizou essa industrialização do crime cibernético ao dar ao Lumma não apenas um apelido, mas também um logotipo de marca.

Esta não é a primeira vez que a Microsoft coopera com entidades internacionais como a Europol. No passado, a empresa trabalhou com empresas de tecnologia como ESET, Cloudflare e Lumen para gerar uma resposta rápida ao combate ao crime cibernético globalmente, criando sistemas defensivos mais fortes e desenvolvendo estratégias alternativas.

“Sabemos que os cibercriminosos são persistentes e criativos. Nós também precisamos evoluir para identificar novas maneiras de interromper atividades maliciosas”, afirmou a empresa em um comunicado.