Фахівці лабораторії Bitdefender повідомили, що вже за кілька днів після кінопрокатної прем'єри "Одіссеї" — одного з наймасштабніших релізів 2026 року — у мережі з'явилися підроблені "піратки" стрічки. Замасковані під якісні риппи файли на ділі встановлюють на комп'ютери з Windows шкідливу програму Lumma Stealer.

Механіка обману

Як пояснюють у Bitdefender, шкідливі файли видають себе за конкретні релізи, оформлені як звичні торент-роздачі — приміром, the odyssey 2160phd (2026) engsubs eztv.exe або the odyssey 2026 1080p webrip-lama.exe. Насправді це виконувані файли Windows, які не відтворюють відео, а заражають систему. Аналітики зазначають, що це лише частина відомих назв — зловмисники, найімовірніше, застосовують і інші варіанти в межах тієї самої схеми.

Щоб приховати справжню природу файлу, шахраї змінюють його іконку на позначку VLC Media Player чи звичного відеофайлу. Windows за умовчанням не показує розширення файлів, тож користувач бачить лише знайомий логотип плеєра і не в змозі візуально розпізнати, що перед ним .exe, а не відео — якщо заздалегідь не активував відображення розширень.

Що вміє викрадати Lumma Stealer

Lumma Stealer, відомий також як LummaC2, — це інфостилер, створений російськомовними розробниками і поширюваний за моделлю malware-as-a-service. Доступ до нього продають іншим злочинцям, тож застосовувати його можуть навіть люди без серйозної технічної підготовки. Після запуску програма збирає паролі з браузерів, збережені платіжні реквізити, дані автозаповнення форм, облікові записи для віддаленого доступу до робочого столу та вміст криптовалютних гаманців.

Окрему загрозу становить викрадення cookies автентифікації: завдяки їм зловмисники здатні заходити в акаунти жертви навіть тоді, коли увімкнена двофакторна автентифікація, бо сесія в браузері вже підтверджена. Крім того, дослідники зафіксували, що заражені виконувані файли намагалися з'єднатися з керуючими серверами інфраструктури Lumma — щонайменше три такі домени вже блокує захист Bitdefender.

Схему вже випробували на "Місії неможливій"

Кампанія навколо "Одіссеї" не є новою розробкою: ще у 2025 році фахівці описали майже ідентичну операцію, побудовану на фейкових завантаженнях фільму "Місія нездійсненна: Фінальна розплата", яка поширювала той самий Lumma Stealer. Зловмисники просто змінюють "обгортку" під актуальний блокбастер, що очолює пошукові запити й торент-трекери, а не створюють нові методи доставки шкідливого коду.

Lumma Stealer пережив дві масштабні міжнародні операції правоохоронців

Той факт, що Lumma Stealer досі активний у серпні 2026 року, свідчить про стійкість цього шкідливого ПЗ, а не про провал слідчих органів. У травні 2025 року Microsoft разом із Європолом, ФБР та японським кіберпідрозділом JC3 провели велику операцію, у ході якої вилучили близько 2300 доменів, що формували інфраструктуру Lumma, та захопили панель керування малваре. За тодішніми оцінками Microsoft, лише за два місяці шкідливе ПЗ заразило понад 394 тисячі комп'ютерів у всьому світі, а ФБР оцінювало загальну кількість заражень приблизно у 10 мільйонів.

Однак уже за кілька місяців Lumma повністю відновив свою інфраструктуру. У лютому 2026 року Bitdefender підтвердила, що малваре знову працює, причому найбільше заражень фіксується в Індії, а другорядна активність — у США та Європі. Секрет живучості — саме модель malware-as-a-service: навіть після знищення командних серверів партнерська мережа операторів залишається на місці й швидко розгортає нову інфраструктуру.

Шкідливий код у бажаному контенті — загальна тенденція

Піратські копії фільмів — лише один із каналів доставки шкідливого ПЗ, орієнтованого на криптогаманці. Останніми місяцями фіксувалися й інші подібні кампанії: шкідливий код у фейкових сторінках CAPTCHA, що поширювалися через мережу BNB Chain, кампанія SparkKitty, яка вбудовувала код для крадіжки гаманців у мобільні застосунки, а також шпалери з аніме-персонажами, націлені на користувачів Steam. Усі ці атаки об'єднує одне: шкідливе ПЗ подорожує разом із тим, що жертва сама активно прагне отримати — піратським фільмом, ігровим модом чи бібліотекою коду для розробників.

Як убезпечити себе

Bitdefender радить дивитися фільми виключно через легальні стрімінгові сервіси, ніколи не запускати виконувані файли, що маскуються під відео, і неодмінно увімкнути в налаштуваннях Windows відображення розширень файлів — це єдиний спосіб візуально відрізнити замаскований .exe від справжнього відеофайлу.

Фейковий сайт Trezor, який вкрав у користувачів біткоїни на $1,6 млн, опинився першим у рекламній видачі Google