Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa opisali kampanię malware, w której cyberprzestępcy wykorzystują fałszywe repozytoria GitHub podszywające się pod znane marki oprogramowania. Jednym z głównych wabików jest rzekomy „LastPass Authenticator”, a celem operacji jest dostarczenie wcześniej nieudokumentowanego infostealera Rapuncel.
To zagrożenie łączy kilka skutecznych technik: pozycjonowanie złośliwych stron w wynikach wyszukiwania, nadużycie zaufania do popularnej platformy deweloperskiej oraz mechanizmy utrudniające wykrycie i analizę na stacjach roboczych.
W skrócie
- Kampania wykorzystuje spreparowane repozytoria GitHub imitujące znane firmy technologiczne.
- Ofiary są przekierowywane do serwerów udostępniających archiwa ZIP ze złośliwym ładunkiem.
- Infekcja obejmuje DLL sideloading, instalację sterownika jądra i wyłączanie procesów AV oraz EDR.
- Rapuncel kradnie dane z przeglądarek, portfeli kryptowalutowych, komunikatorów i systemu Windows.
- Zagrożenie utrzymuje trwałość po restarcie i może prowadzić do przejęcia kont oraz dalszej kompromitacji środowiska.
Kontekst / historia
Ataki z użyciem fałszywych repozytoriów GitHub nie są nowością, jednak opisywana kampania wyróżnia się skalą i dopracowanym łańcuchem dostarczania. Operatorzy przygotowują przekonujące strony projektów podszywających się pod rozpoznawalne aplikacje, licząc na to, że użytkownik trafi na nie z poziomu wyszukiwarki.
Istotnym elementem całej operacji jest również wykorzystanie sterownika podpisanego w łańcuchu zgodności sprzętowej Microsoftu. Takie nadużycie zwiększa wiarygodność komponentu i utrudnia jego blokowanie przez mechanizmy reputacyjne. Badacze zwracają także uwagę, że Rapuncel może mieć powiązania z wcześniejszymi rodzinami stealerów, a jego loader przypomina narzędzia wykorzystywane w modelu malware-as-a-service.
Analiza techniczna
Łańcuch ataku rozpoczyna się od wyszukania popularnego oprogramowania. Po wejściu na spreparowane repozytorium i kliknięciu przycisku pobierania ofiara trafia przez serię przekierowań do serwera z archiwum ZIP. Rozmiar archiwum może być sztucznie zawyżany nawet do około 148 MB, co potencjalnie utrudnia analizę i skanowanie przez część narzędzi ochronnych.
W archiwum znajduje się plik wykonywalny podszywający się pod legalny komponent Microsoft Visual Studio CoreCLR Debugger, czyli vsdbg.exe. Jego zadaniem jest uruchomienie złośliwej biblioteki vsdbg.dll metodą DLL sideloadingu. Dzięki temu złośliwy kod działa w kontekście procesu, który wygląda na zaufany.
Następnie dropper instaluje sterownik Alinubx.sys, maskowany jako komponent NVIDIA pod nazwą nvfsflt64.sys i rejestrowany jako usługa NvFsFilter. Według analizy sterownik zawiera listę 145 procesów związanych z produktami antywirusowymi i EDR, które próbuje zakończyć. Wykorzystanie operacji jądra do otwierania uchwytów procesów pozwala skuteczniej omijać typowe kontrole dostępu i osłabiać ochronę endpointu.
Po wyłączeniu lub osłabieniu zabezpieczeń uruchamiany jest Rapuncel. Malware kradnie zapisane poświadczenia z przeglądarek, dane z portfeli kryptowalutowych, tokeny i sesje komunikatorów oraz platform takich jak Discord, Steam i Telegram, a także zawartość Windows Credential Manager. Dodatkowo wyszukuje dokumenty zawierające słowa kluczowe sugerujące obecność haseł, seedów lub danych odzyskiwania, wykonuje zrzuty ekranów ze wszystkich monitorów i zbiera informacje o systemie.
Na uwagę zasługuje także obejście mechanizmów app-bound encryption stosowanych w przeglądarkach opartych na Chromium. Rapuncel realizuje to przez wstrzyknięcie pomocniczej biblioteki DLL do procesu aplikacji i wykorzystanie odpowiedniego komponentu uprzywilejowanego do dostępu do chronionych danych. Skradzione informacje są następnie kompresowane i przesyłane do zewnętrznego endpointu przez żądanie sformatowane jak HTTP, ale transportowane przez surowe połączenie TCP. Mechanizm trwałości opiera się na usłudze systemowej, co umożliwia ponowne wyłączenie narzędzi ochronnych po restarcie urządzenia.
Konsekwencje / ryzyko
Dla użytkowników końcowych i organizacji kampania oznacza wysokie ryzyko kradzieży tożsamości, przejęcia kont, utraty dostępu do usług oraz kradzieży środków z portfeli kryptowalutowych. Kompromitacja może również prowadzić do wtórnych incydentów, takich jak przejęcie skrzynek pocztowych, kont VPN czy paneli administracyjnych.
Szczególnie niebezpieczny jest fakt, że malware podejmuje próbę wyłączenia lokalnych mechanizmów ochrony jeszcze przed właściwą kradzieżą danych. To zwiększa czas obecności napastnika w środowisku i ogranicza liczbę alarmów generowanych przez systemy bezpieczeństwa. Dla zespołów SOC zagrożenie jest istotne również dlatego, że łączy SEO poisoning, nadużycie zaufanej platformy, DLL sideloading, użycie podpisanego sterownika oraz rozbudowaną eksfiltrację danych.
Rekomendacje
Najważniejszym środkiem ochrony pozostaje pobieranie oprogramowania wyłącznie z oficjalnych witryn producentów i zweryfikowanych kanałów dystrybucji. Organizacje powinny monitorować lub blokować pobrania plików wykonywalnych z nieautoryzowanych repozytoriów, stron pośredniczących oraz podejrzanych przekierowań z wyszukiwarek.
- Wdrażaj polityki ograniczające uruchamianie nieautoryzowanych sterowników.
- Monitoruj instalację nowych usług systemowych oraz anomalie związane z DLL sideloadingiem.
- Koreluj zdarzenia obejmujące pobranie dużych archiwów ZIP, uruchomienie narzędzi deweloperskich w nietypowym kontekście i nagłe zatrzymanie procesów AV lub EDR.
- Zwracaj uwagę na artefakty takie jak vsdbg.exe, vsdbg.dll, Alinubx.sys, nvfsflt64.sys i NvFsFilter.
- Wykrywaj masowe odczyty danych przeglądarek, próby dostępu do magazynów poświadczeń, wykonywanie zrzutów ekranów i nietypową komunikację wychodzącą.
Po stronie użytkowników kluczowe są szkolenia dotyczące rozpoznawania fałszywych repozytoriów GitHub, sponsorowanych wyników wyszukiwania i podejrzanych przycisków pobierania. W środowiskach korporacyjnych warto rozważyć allowlisting aplikacji, izolację przeglądarki oraz dodatkowe ograniczenia dla użytkowników o podwyższonym profilu ryzyka.
W przypadku podejrzenia kompromitacji należy natychmiast odizolować host, przeprowadzić rotację haseł i tokenów sesyjnych, unieważnić zapisane sesje w krytycznych usługach oraz zweryfikować integralność lokalnych narzędzi ochronnych. Jeśli na urządzeniu były używane portfele kryptowalutowe lub menedżery haseł, incydent należy traktować jako potencjalnie krytyczny.
Podsumowanie
Rapuncel pokazuje, że nowoczesne infostealery nie opierają się wyłącznie na socjotechnice, ale coraz częściej łączą ją z technikami aktywnego osłabiania zabezpieczeń endpointów. Połączenie fałszywych repozytoriów GitHub, przekierowań SEO, DLL sideloadingu i podpisanego sterownika do wyłączania EDR znacząco zwiększa skuteczność całej kampanii.
Dla obrońców najważniejsze pozostają kontrola źródeł oprogramowania, monitoring nowych sterowników i usług, detekcja zachowań charakterystycznych dla stealerów oraz szybka reakcja na sygnały wskazujące na kompromitację poświadczeń.