Продолжающаяся кампания по распространению вредоносного ПО использует оптимизированные для SEO репозитории GitHub, чтобы выдать себя за известные фирмы-разработчики программного обеспечения и продвигать ранее недокументированный похититель информации под названием Rapuncel. [...] LastPass и Delphos Labs раскрыли информацию о кампании, которая, как они сообщают, выдает себя за бренд менеджера паролей и как минимум 39 других компаний. Помимо информационного кражи Rapuncel, репозитории поставляют подписанный Microsoft драйвер ядра, который может отключать 145 антивирусов и продуктов обнаружения и реагирования на конечные точки (EDR). Цепочка атак начинается, когда жертвы ищут LastPass Authenticator или другое популярное программное обеспечение и переходят по ссылкам на поддельные репозитории GitHub. Там нажатие кнопок загрузки запускает серию перенаправлений до достижения серверов доставки полезной нагрузки, где жертвы получают ZIP-архивы, размер которых увеличивается до 148 МБ, чтобы избежать проверок безопасности. Установщик в архивах представляет собой копию законного отладчика Microsoft Visual Studio CoreCLR, «vsdbg.exe», переименованного и настроенного для загрузки вредоносной DLL (vsdbg.dll). Установщик развертывает программу-похититель информации Rapuncel, а также драйвер ядра Alinubx.sys, который используется для уничтожения антивирусного программного обеспечения. Драйвер ядра замаскирован под компонент NVIDIA с именем «nvfsflt64.sys» и регистрируется как служба NvFsFilter. По мнению исследователей, драйвер действует как убийца EDR и содержит жестко закодированный список из 145 антивирусов и процессов EDR, которые он стремится завершить. «Драйвер вызывает ObOpenObjectByPointer с AccessMode=KernelMode, который обходит обычный путь SeAccessCheck пользовательского режима во время открытия дескриптора», — объясняет LastPass.
Источник: BleepingComputer — https://www.bleepingcomputer.com/news/security/fake-lastpass-authenticator-github-repos-push-new-rapuncel-infostealer/
Комментарии