Microsoft annonce le démantèlement de Lumma Stealer – L’INFORMATICIEN & L’INFO CYBER-RISQUES – L’1FO Tech par L’Informaticien – L’INFORMATICIEN

Microsoft a annoncé, mercredi 21 mai, avoir mené une opération mondiale qui a conduit au démantèlement du célèbre infostealer Lumma Stealer. Une victoire importante, bien que le logiciel malveillant ne soit pas complètement éradiqué.

À la manœuvre : la Digital Crimes Unit (DCU) de Microsoft, qui, en collaboration avec des partenaires internationaux, s’est attaquée à l’un des infostealers les plus notoires. À la mi-mai, l’entreprise a intenté une action en justice contre les opérateurs de Lumma Stealer. À la suite d’une décision rendue par un tribunal fédéral de Géorgie, elle a pu saisir et mettre hors ligne 2 300 domaines malveillants liés à l’infrastructure du malware.

Le Département de la Justice américain (DOJ) a, de son côté, démantelé la structure de commande principale du malware et perturbé la place de marché sur laquelle Lumma Stealer était vendu. En parallèle, le Centre européen de lutte contre la cybercriminalité d’Europol (EC3) et son homologue japonais ont suspendu l’infrastructure de Lumma au niveau local.

Lumma Stealer est affaibli, mais pas vaincu

Particulièrement virulent, Lumma Stealer a été détecté sur environ 394 000 ordinateurs Windows entre le 16 mars et le 16 mai 2025. La communication entre le malware et ses victimes a été interrompue. 1 300 domaines ont été saisis ou transférés à Microsoft. Ces domaines seront étudiés afin de renforcer les connaissances sur ce logiciel malveillant.

Car si cette opération porte un coup sévère à Lumma Stealer, elle ne marque pas sa fin définitive.

« Bien que la neutralisation de l’infrastructure constitue un résultat positif, Lumma Stealer pourrait potentiellement réapparaître en utilisant une architecture différente, » prévient Etay Maor, Chief Security Strategist chez Cato Networks, société de cybersécurité spécialisée dans le SASE.

En début d’année 2024, une taskforce internationale coordonnée par Europol et Eurojust avait déjà fortement perturbé les opérations du groupe , en démantelant des dizaines de serveurs, en fermant leur site vitrine, en arrêtant plusieurs suspects, en supprimant des milliers de comptes et en gelant des fonds en cryptomonnaies. Le ransomware-as-a-service associé n’avait cependant pas tardé à refaire surface,, en mettant sur pied une nouvelle infrastructure et en reprenant rapidement ses activités malveillantes.