Falso LastPass no GitHub derruba 145 ferramentas de segurança com driver assinado pela Microsoft antes de instalar infostealer
Criminosos criaram uma organização falsa no GitHub se passando pelo LastPass, otimizada para aparecer bem posicionada em buscas, e usaram um driver de kernel legítimo — assinado pela Microsoft mas apenas renomeado — para desativar 145 ferramentas de antivírus e EDR antes de instalar o infostealer Rapuncel. O malware rouba senhas de mais de 25 navegadores, carteiras de mais de 30 aplicativos de criptomoeda, tokens do Discord, sessões do Steam e credenciais do Windows, chegando a contornar a criptografia "app-bound" do Chrome/Edge lançada pelo Google em 2024. Pesquisadores identificaram depois um kit maior, o mesmo usado para se passar por mais de 40 empresas diferentes.
O ataque começa com uma organização falsa no GitHub que imita a identidade visual do LastPass e é otimizada para aparecer nos primeiros resultados de busca por "LastPass Authenticator download", exibindo até selos falsos de confiança como "VirusTotal Approved". Pesquisadores descobriram depois que essa página fazia parte de um toolkit maior de malware-as-a-service, compartilhado pela mesma infraestrutura para personificar mais de 40 empresas diferentes — ou seja, a mesma máquina de distribuição pode assumir a identidade de qualquer marca de software popular.
Ao clicar em "baixar", a vítima passa por múltiplos redirecionamentos ocultos através de outros repositórios do GitHub disfarçados de páginas 404 quebradas, mas que na verdade escondem JavaScript que a encaminha ao próximo estágio. O arquivo ZIP final usa um truque antigo e ainda eficaz: é inflado com DLLs falsas para ultrapassar o limite de tamanho que muitos scanners automatizados de segurança verificam, escapando de análise. O "instalador" nada mais é do que uma ferramenta de debug legítima da Microsoft, renomeada, que carrega silenciosamente uma DLL maliciosa colocada na mesma pasta.
A etapa mais crítica é a instalação de um driver de kernel assinado pela Microsoft (Windows Hardware Compatibility Publisher) — na origem um driver chinês legítimo de criptografia de disco (CcProtect.sys), simplesmente renomeado para Alinubx.sys. Essa única mudança de nome bastou para escapar de todas as detecções baseadas em hash, mantendo uma assinatura "limpa" no VirusTotal enquanto o driver desativava 145 produtos de antivírus e EDR instalados na máquina da vítima — abrindo caminho livre para o infostealer agir sem monitoramento.
Com as defesas neutralizadas, o infostealer batizado de Rapuncel coleta senhas salvas de mais de 25 navegadores, carteiras de mais de 30 aplicativos de criptomoeda, tokens de sessão do Discord, Steam e Telegram, credenciais do Windows Credential Manager e screenshots de todos os monitores conectados. No Chrome e Edge, o malware chega a injetar código diretamente no processo do navegador para acionar o próprio serviço interno de descriptografia, contornando a proteção "app-bound encryption" que o Google lançou em 2024 justamente para dificultar esse tipo de roubo.
A lição prática é dupla: para usuários, nunca baixar softwares de segurança ou autenticadores fora das lojas oficiais, mesmo quando aparecem bem posicionados no GitHub ou em buscadores, e desconfiar de qualquer instalador que peça para desativar temporariamente o antivírus. Para equipes corporativas, o caso reforça a importância de manter atualizada a lista de bloqueio de drivers vulneráveis da Microsoft (Vulnerable Driver Blocklist) e políticas WDAC, já que a assinatura digital válida por si só não garante que um driver seja seguro — e de monitorar o carregamento de drivers de kernel incomuns como sinal de alerta precoce, especialmente em máquinas que também guardam carteiras de criptomoeda.