Repositórios falsos no GitHub imitam LastPass Authenticator e espalham o infostealer Rapuncel
Uma campanha ativa usa repositórios GitHub otimizados para SEO, imitando a LastPass Authenticator e outras 39 empresas, para distribuir um infostealer inédito batizado de Rapuncel. O malware rouba credenciais de 25 navegadores, dados de 30 carteiras de criptomoedas e conteúdo do Windows Credential Manager, além de instalar um driver kernel que mata mais de 140 processos de antivírus e EDR. A técnica de disfarce é sofisticada o bastante para contornar buscas e varreduras automáticas de segurança.
A LastPass e a Delphos Labs identificaram uma campanha em andamento que explora a confiança dos usuários em resultados de busca e no próprio GitHub. Os atacantes criam repositórios com nomes e descrições otimizados para SEO, se passando pela LastPass Authenticator e por pelo menos 39 outras marcas de software popular, de forma que apareçam bem posicionados quando a vítima procura por um programa legítimo para baixar. Ao clicar no botão de download, o usuário é levado por uma cadeia de redirecionamentos até um arquivo ZIP artificialmente inflado a até 148MB — um truque simples, mas eficaz, para escapar de motores de varredura que ignoram arquivos grandes.
Por dentro, o pacote contém um executável chamado "vsdbg.exe", que é uma cópia renomeada do depurador legítimo do Visual Studio da Microsoft. Esse binário é usado para carregar por sideloading uma DLL maliciosa ("vsdbg.dll"), que por sua vez implanta o infostealer Rapuncel junto com um driver de kernel chamado Alinubx.sys, disfarçado de componente da NVIDIA ("nvfsflt64.sys") e registrado como o serviço "NvFsFilter". Esse driver funciona como um "EDR killer": carrega uma lista de 145 processos de antivírus e ferramentas de resposta a incidentes e os encerra usando uma técnica de baixo nível (ObOpenObjectByPointer em modo kernel) para contornar a proteção Protected Process Light do Windows — e, no momento da descoberta, ainda não constava na lista de drivers vulneráveis bloqueados pela Microsoft.
O alvo final é essencialmente qualquer coisa com valor financeiro ou de identidade: credenciais salvas em 25 navegadores diferentes, dados de 30 carteiras de criptomoedas, credenciais de Discord, Steam e Telegram, o conteúdo do Windows Credential Manager e documentos cujo nome contenha termos como "password", "seed", "wallet" ou "recovery". Para acessar senhas protegidas pela criptografia vinculada ao aplicativo (app-bound encryption) do Chrome e do Edge, o malware injeta uma DLL auxiliar e aciona seu próprio serviço de elevação de privilégio. Os dados roubados são compactados e exfiltrados via HTTP para um endereço de comando e controle fixo. Pesquisadores apontam com confiança moderada que o Rapuncel é uma variante do infostealer BoryptGrab, empacotado com o crypter conhecido como "Cruciferra PUROSANGUE".
Na prática, a defesa passa por hábitos simples de higiene digital: nunca baixar software de resultados de busca patrocinados ou de repositórios GitHub com poucas estrelas, histórico de commits inconsistente ou nome de projeto que apenas imita uma marca conhecida — sempre prefira o site oficial do fabricante. Arquivos ZIP anormalmente grandes para o que dizem conter são um sinal de alerta. Times de segurança corporativa devem monitorar a instalação de novos drivers assinados por cadeias incomuns e tratar o encerramento em massa de processos de EDR como indicador de comprometimento. Quem suspeitar de infecção deve trocar imediatamente senhas armazenadas em navegador e mover fundos de carteiras cripto expostas para endereços novos, já que o infostealer foi desenhado especificamente para captura de seeds e chaves de recuperação.