Selon le rapport de Deep Tide TechFlow, le 6 janvier, d'après Karol Paciorek, membre de l'équipe de cybersécurité CSIRT KNF, Lumma Stealer utilise le déguisement C2 via des profils Steam pour masquer le domaine, et utilise de faux sites pour se faire passer pour des échanges de crypto-monnaie afin de tromper les victimes.