假LastPass安装包投递Rapuncel窃密并终止145杀软
事件概述LastPass 报告称，GitHub 上分发的伪造 LastPass Authenticator 安装包引出了一起广泛的品牌冒充活动，该活动用于投递窃密恶意软件。活动中的攻击者冒充至少 40 家公司，推送一个微软认证的内核驱动，旨在终止 145 款安全工具，并为名为 Rapuncel 的信息窃取恶意软件打开入口。该假 LastPass 诱饵于 8 月 13 日被发现，属于机会型品牌冒充，LastPass 内部系统未被攻破；相关活动已活跃数月。
传播链与伪装方式
攻击者利用 SEO 优化，使其 GitHub 页面在用户搜索合法应用时出现在前排，该页面提供伪造的 LastPass Authenticator。另一个页面提供假的 macOS LastPass 应用。攻击者使用隐藏的路由链，依赖多个 GitHub 页面和 Cloudflare 前置服务器，将受害者引导至最终目的地，运营者可动态更改该目的地。截至 9 月 10 日，该服务器仍活跃并返回 JavaScript 重定向，但内容在 8 月 27 日至 9 月 10 日间发生变化，确认仍在持续维护。最终，受害者被带到下载页，获取的压缩包中包含假安装器、恶意文件和垃圾文件。安装器是微软调试工具的改名版本，执行后会加载包含攻击者代码的伴随 DLL。
Rapuncel 行为
Rapuncel 尝试通过 Windows 内置功能获得 System 权限，并安装一个伪装成 NVIDIA 图形组件的内核驱动，该驱动旨在终止 145 款防病毒和终端安全产品。LastPass 称，该驱动包含隐藏自身和向每个运行进程注入 helper 的代码，但观察到的迭代缺少必要配置，未激活这些功能。安全工具被关闭后，恶意软件会搜索 25 款浏览器中保存的密码、30 款钱包应用的加密货币文件、Discord token、Steam token、Telegram 数据、Windows 凭据存储，以及所有包含凭据和钱包关键词的文档。此外，Rapuncel 会对每个连接的显示器截图，并捕获详细的系统画像。
该恶意软件会将自身安装为 Windows 服务，每次电脑启动时自动运行。随后它会持续循环：检查安全产品、杀死任何已重启的安全产品，并重新运行窃密流程。LastPass 指出，在内核驱动被物理移除之前，机器可能完全处于攻击者控制之下。
关联分析
LastPass 与 Delphos 合作调查发现，通过感染链中加载的恶意 DLL，该活动与 Cruciferra 存在关联。Cruciferra 是 Proofpoint 最近披露的一种 crypter 服务。该 DLL 很可能是使用 Cruciferra 中名为 PUROSANGUE 的包制作，该包此前用于创建其他包含 EDR/AV-killing 代码的侧载 DLL。
此外，该活动与 BoryptGrab 存在多处重叠。BoryptGrab 是今年早些时候通过大约 100 个 GitHub 仓库分发的信息窃取程序。Delphos 将 Rapuncel 窃密载荷与趋势科技记录的 BoryptGrab 样本直接比较，发现两个家族并非字节相同，但行为与产物层面的重叠很强。Delphos 评估 Rapuncel 是 BoryptGrab 相关变种或兄弟构建。
关注点
该活动结合了搜索引擎投毒、GitHub 托管、动态重定向、内核驱动和 EDR/AV 终止能力，并最终投递 Rapuncel 窃密程序。LastPass 强调内部系统未被攻破，本次事件属于外部品牌冒充活动。
Re: 假LastPass安装包投递Rapuncel窃密并终止145杀软
感谢楼主整理，这个案例挺有警示性。以前只觉得假安装包是骗下载，没想到这次还能带内核驱动去批量终止 145 款安全软件，而且会循环检查、重新杀安全产品、反复窃密，等于安全软件被拔掉后机器就非常被动了。LastPass 内部系统没被攻破这点也很关键，说明主要风险在外部品牌冒充和搜索投毒。 平时搜软件真不能只看前排结果，GitHub 页面也可能被拿来做诱饵。下载 LastPass Authenticator 这类工具，还是尽量走官方渠道，遇到压缩包里塞假安装器、DLL 和垃圾文件的就别碰。如果已经运行过可疑安装器，感觉不是简单卸载就能放心，因为内核驱动还在的话可能仍有控制权，最好按彻底清理的思路处理。感谢分享，值得转给用 LastPass 的人提醒一下。Re: 假LastPass安装包投递Rapuncel窃密并终止145杀软
感谢楼主整理，这个案例确实挺有代表性。搜索合法应用时被 SEO 投毒的假 GitHub 页面顶到前面，再配合动态重定向，普通用户很容易以为下到的是官方安装包。最麻烦的是那个伪装成 NVIDIA 组件的内核驱动，能终止 145 款安全工具，还会循环检查并杀掉重启后的安全软件，不物理移除的话机器基本等于被攻击者控制。 另外 Rapuncel 偷的东西也很全面，浏览器密码、钱包文件、Discord 和 Steam token、Telegram 数据、Windows 凭据，还有带关键词的文档，危害面很大。楼主也说明了 LastPass 内部系统没被攻破，这次是外部品牌冒充，所以重点还是别从非官方渠道装应用，尤其搜索结果里冒出来的 GitHub 安装包要格外小心。企业环境可能也要多留意异常内核驱动、服务和启动项。感谢分享，这种传播链值得扩散提醒。Re: 假LastPass安装包投递Rapuncel窃密并终止145杀软
感谢分享，这个案例挺典型的，搜索排名投毒加 GitHub 托管假安装包，再用改名后的微软调试工具加载 DLL，最后上内核驱动去杀安全软件，链条很完整。最让人担心的是它会伪装成 NVIDIA 图形组件，目标是一次性干掉 145 款防病毒和终端安全产品，然后偷浏览器密码、钱包文件、Discord 和 Steam token、Telegram 数据、Windows 凭据，还会截图和持续循环，直到内核驱动被物理移除前机器都可能被控制。 大家下载 LastPass Authenticator 或 macOS 版时还是只认官方渠道，别从搜索结果里的 GitHub 页面、网盘或第三方站下，尤其遇到压缩包里有假安装器、多个可疑 DLL 和垃圾文件时要特别警惕。如果怀疑中招，先断网，找干净设备改重要账号密码、撤销 token、开双重验证，并检查 Windows 服务和驱动，必要时重装。虽然 LastPass 说内部系统没被攻破，但外部品牌冒充对普通用户杀伤力很大，值得提醒身边人。
页:
[1]