Поддельный установщик LastPass Authenticator злоупотребляет подписанным Microsoft драйвером, чтобы убить антивирус и EDR

Поддельный установщик LastPass Authenticator, предлагаемый на GitHub, устанавливает драйвер ядра Windows, который отключает антивирусное и другое защитное программное обеспечение до того, как запустится программа для кражи паролей, если жертва загрузит и запустит его, сообщили исследователи из LastPass и Delphos Labs 17 сентября. Собственная программа совместимости оборудования Microsoft подписывает драйвер и не выявила никаких обнаружений на VirusTotal, когда исследователи Собственная программа совместимости оборудования Microsoft подписывает драйвер, не выявила никаких обнаружений на VirusTotal, когда исследователи проверили его в августе, и не была в списке заблокированных драйверов Microsoft. LastPass утверждает, что ни одна из ее собственных систем, сервисов или хранилищ клиентов не была затронута, а злоумышленники лишь позаимствовали ее имя. Приманкой является поддельная страница GitHub (github.com/LastPass-Authenticator), которая ранжируется в результатах поиска по таким запросам, как «Загрузка LastPass Authenticator» и выглядит как настоящая страница продукта LastPass. Нажатие кнопки загрузки отправляет посетителя через несколько страниц GitHub на сервер злоумышленника, который обслуживает большой ZIP-файл. Настоящий LastPass Authenticator доступен на сайте Lastpass.com и в официальных магазинах приложений, а не на GitHub. Внутри ZIP-архива находится переименованная копия настоящего инструмента отладки Microsoft vsdbg.exe, расположенная рядом с вредоносным файлом vsdbg.dll. Когда запускается поддельный установщик, Windows загружает DLL злоумышленника из той же папки. Этот трюк называется неопубликованной загрузкой DLL. Затем загрузчик пробует три способа получить права администратора, достигает СИСТЕМЫ, самого высокого уровня на машине с Windows, и устанавливает драйвер ядра в качестве службы. Виденные архивы имели размеры 148 МБ и 127,9 МБ и были заполнены ненужными файлами, поэтому сканеры с ограничениями на размер их пропускали.

Источник: The Hacker News — https://thehackernews.com/2026/09/fake-lastpass-authenticator-installer.html