Fałszywe repozytoria GitHub z LastPass Authenticator rozsyłają stealer Rapuncel

Fałszywe repozytoria GitHub podszywają się pod LastPass Authenticator i co najmniej 39 innych marek. Rozsyłają nieopisany wcześniej program do kradzieży danych Rapuncel. Kampanię wykryły LastPass i Delphos Labs. Ofiara trafia na repozytorium z wyszukiwarki. Przycisk pobierania prowadzi przez serię przekierowań do archiwum ZIP powiększonego do 148 MB, żeby uniknąć skanowania. Instalator to przemianowana kopia debugera Microsoft vsdbg.exe, która ładuje złośliwą bibliotekę vsdbg.dll.

Kogo dotyczy

Zagrożeni są użytkownicy, którzy szukają LastPass Authenticator albo innego popularnego programu i pobierają go z fałszywego repozytorium na GitHubie. Razem ze stealerem instalowany jest sterownik jądra Alinubx.sys. Udaje on komponent NVIDIA o nazwie nvfsflt64.sys i rejestruje się jako usługa NvFsFilter. Ma wpisaną na stałe listę 145 procesów antywirusów i EDR, które zamyka, także tych chronionych przez Protected Process Light. Sterownik jest podpisany w łańcuchu Microsoft Windows Hardware Compatibility Publisher. Nie ma go na prowadzonej przez Microsoft liście zablokowanych podatnych sterowników.