Sticky Werewolf è un attore di minacce informatiche che sta prendendo di mira Russia e Bielorussia per distribuire il malware Lumma Stealer tramite un impianto precedentemente non documentato. Kaspersky, un'azienda di sicurezza informatica, ha identificato questo gruppo di attacco sotto il nome di Angry Likho, notando una forte somiglianza con un altro gruppo noto come Awaken Likho. Tuttavia, le attività di Angry Likho sono più mirate, con un'infrastruttura più compatta e un focus su impiegati di grandi organizzazioni, comprese agenzie governative e i loro fornitori.
Le campagne di attacco sono sospettate di avere origine da parlanti nativi russi, dato l'uso fluente del russo nei documenti utilizzati come esca per innescare la catena di infezione. Gli attacchi hanno principalmente preso di mira organizzazioni in Russia e Bielorussia, con centinaia di vittime identificate.
Le attività precedenti del gruppo hanno utilizzato email di phishing come veicolo per distribuire vari tipi di malware, tra cui NetWire, Rhadamanthys, Ozone RAT e DarkTrack, quest'ultimo lanciato tramite un loader chiamato Ande Loader. La sequenza di attacco prevede l'uso di email di spear-phishing contenenti allegati compromessi, come file di archivio, che contengono file LNK di Windows e un documento esca legittimo.
Questi file di archivio avanzano l'attività dannosa attraverso un processo complesso in più fasi per distribuire il ladro di informazioni Lumma. Questo impianto è stato creato utilizzando il sistema di installazione open-source legittimo, Nullsoft Scriptable Install System, e funziona come un archivio autoestraente. Gli attacchi incorporano passaggi per evitare il rilevamento da parte dei fornitori di sicurezza, tramite un controllo per emulatori e ambienti sandbox, facendo sì che il malware si arresti o riprenda dopo un ritardo di 10.000 millisecondi.
Lumma Stealer è progettato per raccogliere informazioni di sistema e software installato dai dispositivi compromessi, così come dati sensibili come cookie, nomi utente, password, numeri di carte bancarie e log delle connessioni. È anche in grado di rubare dati da vari browser web, portafogli di criptovalute e applicazioni come AnyDesk e KeePass. Il gruppo si affida a strumenti dannosi prontamente disponibili ottenuti da forum darknet, piuttosto che sviluppare i propri strumenti. L'unico lavoro che svolgono autonomamente riguarda la scrittura dei meccanismi di consegna del malware ai dispositivi delle vittime e la creazione di email di phishing mirate.
