Lua Infostealer : ce voleur d’informations discret qui continue de sévir en 2026

Le lua infostealer désigne en pratique l’un des infostealers les plus répandus du moment. Derrière ce nom, on retrouve surtout Lumma Stealer, aussi appelé LummaC2. Apparu fin 2022, ce malware développé par un acteur russophone connu sous le pseudonyme Shamel s’est imposé comme un outil Malware-as-a-Service (MaaS) particulièrement efficace et accessible.

Il ne cherche pas à chiffrer vos fichiers comme un ransomware. Son seul objectif : extraire le plus possible de données sensibles, les regrouper dans des « logs » et les revendre ou les exploiter. Le tout de façon silencieuse, souvent sans que la victime ne remarque quoi que ce soit pendant des jours ou des semaines.

D’où vient ce malware et pourquoi il reste populaire

LummaC2 a été mis en vente sur des forums cybercriminels russes dès fin 2022. Le modèle économique est simple : abonnement mensuel, avec des paliers qui vont grosso modo de 250 à 1000 dollars selon les options et le niveau de support. L’acheteur reçoit un builder facile à utiliser, des mises à jour régulières et même une assistance technique.

Ce qui a fait son succès, c’est précisément cette simplicité. On n’a pas besoin d’être un développeur chevronné pour l’utiliser. Résultat : il attire aussi bien des groupes expérimentés que des acteurs moins techniques qui veulent juste monétiser des accès rapidement.

Comment fonctionne concrètement le Lua Infostealer

Le cœur du malware est écrit en C++. Une fois exécuté sur une machine Windows, il établit une communication avec un serveur Command-and-Control (C2). C’est par ce canal qu’il reçoit ses instructions et exfiltre les données volées.

Il cible principalement les navigateurs basés sur Chromium (Chrome, Edge, Brave, Opera…) et Firefox. Il récupère :

• les identifiants et mots de passe enregistrés ;
• les cookies de session, y compris la capacité assez rare de restaurer des cookies Google expirés pour prolonger l’accès aux comptes ;
• les informations de cartes bancaires ;
• les portefeuilles de cryptomonnaies (MetaMask, Exodus et autres) ;
• les données des extensions 2FA ;
• les cookies Discord, les identifiants de certains VPN ;
• des fichiers texte ou PDF présents sur le bureau ;
• une capture d’écran et des métadonnées sur la machine (IP, logiciels installés, antivirus…).

Le tout est compressé et envoyé vers l’opérateur. L’infection est souvent très discrète : pas de ralentissement notable, pas de messages d’erreur.

Les vecteurs de diffusion qui marchent encore

Le Lua Infostealer ne se propage pas tout seul. Il faut que la victime fasse une action. Les campagnes les plus courantes en 2025-2026 reposent sur l’ingénierie sociale :

Les e-mails de phishing ou spear-phishing restent classiques, parfois avec des pièces jointes ou des liens qui imitent des services connus. Le malvertising (publicités malveillantes sur des sites légitimes ou via des moteurs de recherche) permet d’atteindre un public large.

Une technique qui a beaucoup circulé ces derniers mois : les fausses pages CAPTCHA. La victime pense devoir prouver qu’elle n’est pas un robot, on lui demande alors d’ouvrir la fenêtre Exécuter (Windows + R) et de coller une commande PowerShell. En réalité, cette commande télécharge et lance le malware. C’est simple, efficace, et ça contourne pas mal de filtres.

On voit aussi des fausses mises à jour de navigateur ou d’antivirus, et surtout les inévitables cracks et « tutos YouTube » pour télécharger des logiciels payants gratuitement. Ces archives hébergées sur MediaFire, Mega ou GitHub contiennent très souvent le payload.

Ce que ça change concrètement pour les victimes

Pour un particulier, les conséquences arrivent souvent par vagues : connexion inhabituelle sur un compte, alerte de fraude bancaire, ou découverte que ses identifiants circulent sur le dark web. Avec les cookies volés, l’attaquant peut parfois accéder à des comptes sans même connaître le mot de passe.

Dans les entreprises, c’est souvent plus grave. Les identifiants professionnels volés servent à du credential stuffing ou à prendre pied dans le réseau. Plusieurs groupes ont utilisé Lumma comme vecteur initial avant de déployer des ransomwares. Les données exfiltrées alimentent aussi des campagnes de phishing plus ciblées, car les boîtes mail compromises fournissent du contexte et des contacts.

Les logs sont revendus sur des marchés Telegram ou des forums spécialisés. Un bon log peut valoir plusieurs dizaines ou centaines de dollars selon la qualité des accès (comptes bancaires, crypto, services professionnels…).

L’opération de mai 2025 : un coup sérieux, mais la menace n’a pas disparu

En mai 2025, Microsoft, en collaboration avec le Department of Justice américain, Europol et d’autres partenaires, a mené une action d’envergure. Plus de 2 300 domaines malveillants ont été saisis, l’infrastructure C2 principale a été perturbée. Microsoft a observé plus de 394 000 machines Windows infectées par Lumma sur une période de deux mois au printemps 2025.

Pourtant, quelques mois plus tard, le malware était de retour avec des tactiques un peu plus discrètes. Les opérateurs ont adapté leurs infrastructures, changé de domaines, et continuent d’utiliser les mêmes vecteurs d’ingénierie sociale qui marchent toujours. En 2026, la menace reste active.

Comment se protéger vraiment

La vérité, c’est qu’un antivirus seul ne suffit plus contre ce genre de menace. Les stealers modernes sont conçus pour contourner les détections par signature.

Ce qui change vraiment la donne :

• Activez l’authentification multifacteur (de préférence via application ou clé hardware, pas par SMS) sur tous les comptes importants. C’est la mesure la plus efficace contre l’usage des identifiants volés.
• Utilisez un gestionnaire de mots de passe dédié. Ne laissez pas le navigateur enregistrer vos identifiants.
• Téléchargez uniquement depuis les sites officiels des éditeurs. Les versions crackées ou les « gratuits » sur des sites tiers restent un des principaux vecteurs.
• Gardez votre système, vos navigateurs et vos logiciels à jour. Les correctifs de sécurité comptent.
• Optez pour une solution de sécurité moderne (EDR ou XDR) capable de détecter des comportements suspects plutôt qu’un simple antivirus traditionnel.
• Restez vigilant sur les messages inattendus qui vous poussent à exécuter des commandes, à cliquer sur des liens ou à télécharger quelque chose « pour vérifier votre identité ».

Si vous suspectez une infection : déconnectez immédiatement la machine d’Internet, scannez-la avec une solution à jour, changez tous vos mots de passe depuis un appareil propre (en utilisant le gestionnaire), et surveillez vos comptes. Dans un contexte professionnel, faites appel à une équipe de réponse aux incidents si les accès critiques ont pu être compromis.

Ce qu’il faut retenir

Le Lua Infostealer n’est pas le malware le plus bruyant ni le plus sophistiqué sur le papier. C’est justement pour ça qu’il reste efficace. Il vole ce qui a de la valeur aujourd’hui — identifiants, sessions, crypto, accès professionnels — et le monétise rapidement. Les opérations de démantèlement ralentissent temporairement les opérateurs, mais tant que le modèle MaaS reste rentable et que les vecteurs d’ingénierie sociale marchent, la menace persiste.

La bonne nouvelle, c’est que les mesures de protection les plus efficaces ne sont pas forcément les plus complexes. MFA bien configuré, gestionnaire de mots de passe, prudence sur les téléchargements et mises à jour régulières : ça réduit déjà énormément la surface d’attaque. Et dans un monde où les infostealers alimentent une grande partie des attaques plus graves, c’est un investissement qui vaut largement le coup.