Il Threat Intelligence, Mitigation, and Escalation (TIME) Team di LastPass e i Delphos Labs hanno identificato e bloccato una campagna malware che impersona almeno 40 aziende su GitHub, una della quali è LastPass. Gli utenti vengono ingannati dal nome e scaricano un falso LastPass Authenticator che installa Rapuncel, un infostealer in grado di rubare diversi dati dal dispositivo.
Descrizione della catena di infezione
La catena di infezione inizia quando gli utenti cercano “LastPass Authenticator download” sui motori di ricerca. Grazie a tecniche di SEO poisoning, nella parte superiore della pagina dei risultati viene mostrato il link ad un repository di GitHub con nome e logo di LastPass e descrizione del prodotto. Cliccando sul pulsante nella pagina vengono eseguiti vari reindirizzamenti fino al download di un archivio ZIP.
All’interno c’è il presunto installer del LastPass Authenticator. In realtà è una copia del legittimo debugger Microsoft Visual Studio CoreCLR (vsdbg.exe) con nome diverso e e configurata per caricare una DLL infetta (vsdbg.dll) in memoria. Il passo successivo è ottenere privilegi SYSTEM e disattivare tutti i software di sicurezza con un driver del kernel (alinubx.sys), mascherato come NVIDIA File System Filter Driver (nvfsflt64.sys).
A questo punto entra in gioco l’infostealer Rapuncel che raccoglie numerosi dati sensibili: password memorizzate nel browser, file dei wallet di criptovalute, credenziali, token e dati di Discord, Steam, Telegram e Windows, ogni documento che contiene specifiche parole (password, recovery, wallet e simili), informazioni sul sistema e screenshot di ogni monitor collegato.
Tutti i dati vengono quindi compressi in un archivio ZIP e inviati al server controllato dai cybercriminali. Il driver del kernel permette anche di intercettare il traffico web, ma la funzionalità non è attiva. Rapuncel è persistente, quindi viene nuovamente eseguito al riavvio del computer, a meno che non venga rimosso manualmente in modalità provvisoria.
Il consiglio è non scaricare mai software da fonti non ufficiali. I link sponsorizzati di Google possono essere nascosti con un ad blocker. Se il sito è stato aggiunto alla blacklist, l’accesso viene automaticamente bloccato da Google Safe Browsing.
Ti potrebbe interessare
22 set 2026