假LastPass安装包投递Rapuncel窃密并终止145杀软

资讯专家

事件概述

LastPass 报告称，GitHub 上分发的伪造 LastPass Authenticator 安装包引出了一起广泛的品牌冒充活动，该活动用于投递窃密恶意软件。活动中的攻击者冒充至少 40 家公司，推送一个微软认证的内核驱动，旨在终止 145 款安全工具，并为名为 Rapuncel 的信息窃取恶意软件打开入口。该假 LastPass 诱饵于 8 月 13 日被发现，属于机会型品牌冒充，LastPass 内部系统未被攻破；相关活动已活跃数月。

传播链与伪装方式

攻击者利用 SEO 优化，使其 GitHub 页面在用户搜索合法应用时出现在前排，该页面提供伪造的 LastPass Authenticator。另一个页面提供假的 macOS LastPass 应用。攻击者使用隐藏的路由链，依赖多个 GitHub 页面和 Cloudflare 前置服务器，将受害者引导至最终目的地，运营者可动态更改该目的地。截至 9 月 10 日，该服务器仍活跃并返回 JavaScript 重定向，但内容在 8 月 27 日至 9 月 10 日间发生变化，确认仍在持续维护。最终，受害者被带到下载页，获取的压缩包中包含假安装器、恶意文件和垃圾文件。安装器是微软调试工具的改名版本，执行后会加载包含攻击者代码的伴随 DLL。

Rapuncel 行为

Rapuncel 尝试通过 Windows 内置功能获得 System 权限，并安装一个伪装成 NVIDIA 图形组件的内核驱动，该驱动旨在终止 145 款防病毒和终端安全产品。LastPass 称，该驱动包含隐藏自身和向每个运行进程注入 helper 的代码，但观察到的迭代缺少必要配置，未激活这些功能。安全工具被关闭后，恶意软件会搜索 25 款浏览器中保存的密码、30 款钱包应用的加密货币文件、Discord token、Steam token、Telegram 数据、Windows 凭据存储，以及所有包含凭据和钱包关键词的文档。此外，Rapuncel 会对每个连接的显示器截图，并捕获详细的系统画像。

该恶意软件会将自身安装为 Windows 服务，每次电脑启动时自动运行。随后它会持续循环：检查安全产品、杀死任何已重启的安全产品，并重新运行窃密流程。LastPass 指出，在内核驱动被物理移除之前，机器可能完全处于攻击者控制之下。

关联分析

LastPass 与 Delphos 合作调查发现，通过感染链中加载的恶意 DLL，该活动与 Cruciferra 存在关联。Cruciferra 是 Proofpoint 最近披露的一种 crypter 服务。该 DLL 很可能是使用 Cruciferra 中名为 PUROSANGUE 的包制作，该包此前用于创建其他包含 EDR/AV-killing 代码的侧载 DLL。

此外，该活动与 BoryptGrab 存在多处重叠。BoryptGrab 是今年早些时候通过大约 100 个 GitHub 仓库分发的信息窃取程序。Delphos 将 Rapuncel 窃密载荷与趋势科技记录的 BoryptGrab 样本直接比较，发现两个家族并非字节相同，但行为与产物层面的重叠很强。Delphos 评估 Rapuncel 是 BoryptGrab 相关变种或兄弟构建。

关注点

该活动结合了搜索引擎投毒、GitHub 托管、动态重定向、内核驱动和 EDR/AV 终止能力，并最终投递 Rapuncel 窃密程序。LastPass 强调内部系统未被攻破，本次事件属于外部品牌冒充活动。