Cybercriminali distribuiscono il malware Lumma Stealer tramite file eseguibili Windows mascherati da copie pirata del film The Odyssey (2026) su tracker torrent e siti di pirateria. Bitdefender Labs ha pubblicato l'analisi tecnica della campagna il 6 agosto 2026, rivelando un pattern già osservato nel 2025 con Mission: Impossible – The Final Reckoning. L'attacco sfrutta una configurazione di Windows che persiste da circa vent'anni: la visualizzazione predefinita che nasconde le estensioni file.
- I file malevoli usano nomi come 'the odyssey 2026 1080p webrip-lama.exe' e 'the odyssey 2160phd (2026) engsubs eztv.exe', spesso con icona personalizzata che replica VLC Media Player
- Windows nasconde le estensioni file di default, impedendo agli utenti di distinguere un eseguibile .exe da un container video
- L'infezione installa Lumma Stealer (LummaC2), info stealer attivo dal 2022 e venduto come malware-as-a-service su canali Telegram
- I domini di comando e controllo auditva[.]cyou, myroayy[.]cyou e logmabx[.]click sono stati bloccati per gli utenti con soluzioni Bitdefender
Come funziona il trucco: l'eseguibile che sembra un video
I file identificati da Bitdefender Labs non contengono frame del film. Sono eseguibili Windows puri, con estensione .exe, distribuiti attraverso canali di pirateria che gli utenti associano normalmente a contenuti multimediali. Per completare l'inganno, gli operatori hanno applicato un'icona personalizzata che riproduce quella di VLC Media Player, il riproduttore open source ampiamente riconosciuto.
L'elemento decisivo è la configurazione predefinita di Windows che nasconde le estensioni dei file conosciuti. Un utente che scarica 'the odyssey 2026 1080p webrip-lama.exe' visualizza solo 'the odyssey 2026 1080p webrip-lama', con l'icona VLC accanto. Secondo Hardware Upgrade, Rosario Grasso ha sintetizzato il problema: "Un film non viene mai distribuito come file .exe". Eppure la combinazione di nome verosimile, icona familiare e estensione invisibile rimuove i segnali di allerta che un eseguibile comporterebbe in condizioni normali.
Bitdefender Labs ha documentato questa stessa tecnica nella campagna 2025 legata a Mission: Impossible. Il ricercatore ha commentato: "the same playbook; only the movie has changed". Il pattern ricorrente indica che gli operatori criminali trattano i blockbuster cinematografici come cicli di attacco prevedibili, sostituendo solo il tema di contorno.
LummaC2: il mercato del furto di informazioni
L'esecuzione del file installa Lumma Stealer, noto anche come LummaC2, info stealer documentato dal 2022. Il malware è venduto come servizio su canali Telegram accessibili a operatori criminali, che acquistano l'infrastruttura e la distribuiscono con tecniche di social engineering personalizzate.
Il modello malware-as-a-service riduce la soglia tecnica per l'attacco: chi distribuisce il file pirata di The Odyssey non necessariamente sviluppa il payload, ma acquista accesso alla piattaforma Lumma e ne configura i parametri di raccolta. I domini di comando e controllo identificati nella campagna — auditva[.]cyou, myroayy[.]cyou, logmabx[.]click — sono stati bloccati per gli utenti con soluzioni Bitdefender, indicando che l'infrastruttura era già catalogata o rilevata attivamente.
Il brief non specifica la natura esatta dei dati esfiltrati da questa campagna. Lumma Stealer è generalmente associato al furto di credenziali browser, cookie di sessione, dati di wallet di criptovalute e informazioni di autenticazione. Tuttavia, il dossier non documenta quali di queste categorie siano state effettivamente bersagliate nella variante The Odyssey.
"A file ending in .exe may look suspicious under normal circumstances, but someone convinced they're downloading a pirated movie may ignore obvious warning signs" — Bitdefender Labs
Perché Windows nasconde ancora le estensioni, e perché conta
La visualizzazione delle estensioni file in Windows richiede un'intervento manuale nell'esplora risorse: è disattivata per impostazione predefinita da versioni precedenti del sistema operativo. Questa scelta di design, orientata alla semplificazione dell'interfaccia utente, produce un effetto collaterale di sicurezza documentato da almeno due decenni nella distribuzione di malware via social engineering.
L'assenza dell'estensione .exe non è un exploit tecnico nel senso classico: non sfrutta vulnerabilità del sistema operativo né bug di parsing. È un abuso di aspettative cognitive, dove l'interfaccia nasconde una proprietà determinante dell'oggetto digitale. L'utente non riceve l'informazione necessaria per classificare correttamente il file prima dell'esecuzione.
Il dossier non documenta se Microsoft abbia mai valutato la modifica di questo default a livello di sistema. La persistenza della configurazione attraverso rilasci successivi di Windows suggerisce che la linea di priorità tra usabilità e trasparenza sicurezza non si sia spostata. Per gli operatori di Lumma, questo equivale a un vettore d'attacco stabile e riutilizzabile senza costi di sviluppo aggiuntivi.
Cosa fare adesso
- Attivare la visualizzazione delle estensioni file in Windows: Esplora file → Visualizza → Mostra → Estensioni nomi file
- Verificare che i file scaricati da sorgenti non ufficiali mostrino l'estensione completa prima di qualsiasi esecuzione
- Riconoscere che file video legittimi non usano mai l'estensione .exe: i formati standard sono .mp4, .mkv, .avi, .mov
- Considerare che le icone personalizzate possono essere modificate a livello di proprietà file: l'icona VLC non garantisce la natura del contenuto
Il ciclo dei blockbuster come calendario d'attacco
La campagna The Odyssey non è un'anomalia. È il riemergere di un pattern già osservato con Mission: Impossible – The Final Reckoning nel 2025, con stesso malware, stessa tecnica di inganno, stessa distribuzione via torrent. La differenza è il titolo cinematografico, non la metodologia.
Questa regolarità ha implicazioni per la pianificazione difensiva. Ogni major cinematografico con sufficiente richiesta di pirateria genera condizioni di attacco prevedibili: l'utente è motivato a ignorare segnali di rischio per ottenere contenuto esclusivo, e l'infrastruttura di distribuzione illegale non offre verifica di integrità. Per le organizzazioni, il rischio si estende al perimetro aziendale quando dipendenti usano endpoint professionali per attività personali.
Il brief non documenta misure correttive specifiche da parte di Microsoft né interventi normativi sulla distribuzione di Lumma. La campagna rimane un caso di competizione tra velocità di rilevamento e riutilizzo di tecniche collaudate, dove la novità è solo nel packaging culturale.
Domande frequenti
I file malevoli contengono almeno parti del film?
No. Le varianti 2026 identificate da Bitdefender sono malware puro, senza frame del filmato. L'inganno si basa esclusivamente sul nome, sull'icona e sull'estensione nascosta.
Lumma Stealer cripta i file come un ransomware?
No. Lumma è un info stealer: raccoglie informazioni sensibili dal sistema infetto. Non cripta i file né richiede riscatto.
I domini C2 sono ancora attivi?
Secondo la fonte Bitdefender, i domini erano già stati bloccati per gli utenti con le sue soluzioni al momento della pubblicazione dell'analisi. Il dossier non specifica lo stato per utenti senza queste protezioni.
Fonti
- https://www.hwupgrade.it/news/web/download-pirata-di-odissea-attenzione-al-malware-lumma_157881.html
- https://www.bitdefender.com/en-us/blog/hotforsecurity/the-odyssey-piracy-lumma-stealer
- https://www.bitdefender.com/en-au/blog/hotforsecurity/fake-mission-impossible-lumma-stealer-torrent
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.