LummaC2: el malware que roba tus contraseñas, cookies y criptomonedas sin dejar rastro
El FBI y la CISA publicaron en mayo de 2025 una alerta conjunta sobre LummaC2, un malware de robo de información que lleva activo desde 2022 y que en ese momento ya había comprometido más de 394.000 ordenadores Windows en todo el mundo en solo dos meses. La alerta sigue vigente en 2026: tras una operación internacional que incautó más de 2.300 dominios de su infraestructura, LummaC2 reconstruyó sus servidores y volvió a operar con fuerza en julio de 2025. Hoy sigue siendo una amenaza activa.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
Qué es LummaC2 y por qué es tan peligroso
LummaC2, también conocido como Lumma Stealer, es un infostealer —malware especializado en robar información— que se vende como servicio en foros de habla rusa desde 2022. Cualquier ciberdelincuente puede suscribirse por unos 250 dólares al mes y obtener acceso a una herramienta lista para usar, con soporte técnico, actualizaciones continuas y panel de administración. El modelo se llama Malware-as-a-Service (MaaS) y es el mismo esquema que usan los grupos de ransomware.
Lo que hace especialmente peligroso a LummaC2 no es solo lo que roba, sino cómo lo hace: se ejecuta directamente en memoria, sin escribir archivos en el disco, lo que le permite evadir muchos antivirus y herramientas de detección de endpoints. Cuando termina, desaparece sin dejar rastro.
Qué roba exactamente
Una vez instalado en el equipo de la víctima, LummaC2 exfiltra de forma silenciosa:
- Credenciales guardadas en el navegador: usuarios y contraseñas de todos tus servicios.
- Cookies de sesión activas: con una cookie válida, el atacante puede acceder a tu cuenta sin necesitar tu contraseña ni tu segundo factor de autenticación. Es el método usado para el secuestro de cuentas de YouTube, Gmail o banca online.
- Extensiones de autenticación de dos factores (2FA): aplicaciones como Google Authenticator almacenadas en el navegador.
- Wallets de criptomonedas: frases semilla, claves privadas y saldos.
- Información del sistema: nombre de usuario, nombre del equipo, software instalado.
Todo esto se envía cifrado a los servidores de comando y control (C2) del atacante en cuestión de segundos.
Cómo llega al ordenador de la víctima
LummaC2 utiliza varias vías de entrada, todas basadas en engañar al usuario para que ejecute algo:
Phishing con archivos adjuntos o enlaces maliciosos. El vector más habitual: un correo aparentemente legítimo con un documento Office, un PDF o un enlace que descarga el payload.
Falsos CAPTCHAs (técnica ClickFix). El usuario visita una web comprometida o falsa y aparece un CAPTCHA que le pide "verificar que es humano" copiando y pegando un comando en el cuadro de ejecución de Windows (Win+R). Ese comando activa un script de PowerShell oculto que descarga e instala LummaC2. Es una técnica especialmente efectiva porque el usuario cree que está haciendo algo legítimo.
Instaladores de software troyanizados. Versiones pirata de programas populares (Adobe, Office, videojuegos) que incluyen LummaC2 oculto en el instalador.
Repositorios falsos en GitHub. Código aparentemente legítimo que, al ejecutarse, despliega el stealer.
Publicidad maliciosa (malvertising). Anuncios en buscadores que apuntan a webs de descarga falsas.
La operación de desmantelamiento y el regreso
En mayo de 2025, Microsoft lideró una operación internacional junto a Europol, el FBI, ESET, Cloudflare y otras empresas del sector. Obtuvieron una orden judicial en Estados Unidos y procedieron a incautar y redirigir más de 2.300 dominios maliciosos que formaban la columna vertebral de LummaC2. El Departamento de Justicia estimó que el malware había causado al menos 1,7 millones de infecciones documentadas, aunque el FBI eleva esa cifra hasta los 10 millones.
El golpe fue significativo. La actividad de LummaC2 cayó bruscamente en mayo y junio de 2025. Pero en julio los operadores ya habían reconstruxo su infraestructura y retomaron las campañas de distribución. En 2026 el FBI y la CISA confirman que el malware sigue activo y en uso contra infraestructuras críticas.
Cómo protegerse
LummaC2 está diseñado para evadir defensas tradicionales, pero hay medidas concretas que reducen drásticamente el riesgo:
- No ejecutes comandos que te pida una web. Ningún CAPTCHA legítimo te pedirá abrir el cuadro de ejecución de Windows ni pegar comandos. Si ves esto, cierra la ventana y no hagas nada.
- Descarga software solo de fuentes oficiales. El software pirata es el vector de entrada más habitual de este tipo de malware.
- Usa un gestor de contraseñas independiente del navegador. Las credenciales guardadas directamente en Chrome, Firefox o Edge son el principal objetivo de los infostealers. Un gestor externo reduce esa superficie de ataque.
- Activa MFA resistente a phishing. Las llaves de seguridad físicas (FIDO2) o las aplicaciones de autenticación independientes del navegador son mucho más difíciles de robar que las extensiones de 2FA.
- Mantén el sistema y el software actualizados. LummaC2 aprovecha vulnerabilidades conocidas para escalar privilegios una vez instalado.
- Desconfía de correos con urgencia o adjuntos inesperados. Si recibes un correo sospechoso con un archivo adjunto o un enlace, analízalo primero en el scanner de ORTSLAB antes de abrirlo.
Conclusión
LummaC2 es un ejemplo de la profesionalización del cibercrimen: un producto vendido como servicio, con actualizaciones constantes, técnicas de evasión sofisticadas y una red de distribución global. No requiere que el atacante sea un experto; cualquiera con dinero puede alquilarlo. Por eso las campañas son tan numerosas y el impacto, tan amplio.
La principal línea de defensa sigue siendo el criterio del usuario: no ejecutar lo que no se ha pedido, no descargar software de fuentes dudosas y verificar cualquier mensaje sospechoso antes de interactuar con él.
Fuentes: Alerta conjunta FBI-CISA AA25-141B (mayo 2025) · Microsoft Digital Crimes Unit · Europol · Red Canary Threat Detection Report 2026