盗版《奥德赛》成诱饵！Lumma Stealer 恶意软件盯上加密钱包，会话 Cookie 可绕过 2FA

网络犯罪分子的“暑期档”从不缺席。Bitdefender 研究人员于 8 月 6 日披露，2026 年备受期待的院线大片《奥德赛》的盗版资源正在成为 Lumma Stealer 恶意软件的传播载体。这种信息窃取型恶意软件专门针对加密钱包、已保存密码、支付信息和浏览器会话 Cookie 下手。

恶意文件伪装成高清视频下载，文件名刻意模仿盗版圈常见的发布组命名规范，例如“the odyssey 2160phd (2026) engsubs eztv.exe”。不过，真正的视频文件绝不会带有 .exe 扩展名。攻击者还为可执行文件图标套上 VLC 播放器的外观，以降低用户戒心。

Lumma Stealer 如何运作

Lumma Stealer 并非新威胁，但一直在演化。它主要针对 Windows 系统，一旦被执行，就会在后台窃取敏感数据，包括浏览器密码、自动填充信息、Chrome 或 Edge 中存储的银行卡号，以及加密钱包凭证。

对加密用户而言，Lumma 最危险的地方在于能够窃取会话 Cookie。会话 Cookie 可以让攻击者完全绕过双重身份验证（2FA）——他们不需要你的密码或验证器应用，只要重放你与交易所或钱包界面的活跃浏览器会话即可。

Bitdefender 的分析识别出该恶意软件通信的多个命令与控制（C2）域名，包括 auditva[.]cyou 和 logmabx[.]click。截至通报发布时，这两个域名已被 Bitdefender 安全产品标记并阻止，安装了最新端点防护的用户可得到屏蔽。

死而不僵的恶意软件

2025 年 5 月，执法机构曾对该恶意软件基础设施展开大规模打击，封禁了约 2,300 个相关域名。然而 Lumma 很快重建基础设施，并找到新的分发渠道。盗版电影下载只是最新手法，此前的攻击活动还利用过破解软件、虚假 CAPTCHA 页面和钓鱼邮件投递载荷。

Lumma 采用“恶意软件即服务”（MaaS）模式运营，开发者将窃密程序授权给其他罪犯，由后者自行选择分发方式。打掉一个分销商的基础设施，另一个就会带着新活动冒出来。

加密用户为何要警惕

Lumma Stealer 明确针对基于浏览器的钱包扩展和本地存储的钱包数据。MetaMask、Phantom 等浏览器钱包是重点目标，因为它们会在本地保存加密金库数据。一旦恶意软件能够从内存或缓存凭据中提取这些数据及解密密钥，钱包即告沦陷。

即便是硬件钱包用户，如果通过浏览器界面与设备交互，也难以完全幸免。攻击者窃取 DeFi 协议前端的会话 Cookie 后，可以在常规签名过程中诱导用户在硬件设备上不经意批准恶意交易。

Lumma Stealer 在被封禁约 2,300 个域名后不到一年便卷土重来，说明这一威胁不会轻易消失。每一部新的大片上映，都会为运营者提供新的社会工程学弹药。