Falsi repository GitHub diffondono l'infostealer Rapuncel e disattivano l'antivirus
Falsi repository GitHub che si spacciano per le pagine di download di software noti stanno diffondendo un nuovo infostealer chiamato Rapuncel, e la stessa operazione installa un driver kernel firmato da Microsoft che disabilita la protezione antivirus sulla macchina infetta. La campagna è stata scoperta dal produttore di password manager LastPass insieme alla società di sicurezza Delphos Labs, ed è stata riportata da BleepingComputer il 18 settembre 2026. Secondo quella ricerca, i falsi repository impersonano LastPass e almeno altre 39 aziende, e sono costruiti per posizionarsi bene nei risultati di ricerca, così una vittima spesso li raggiunge semplicemente digitando il nome di un programma popolare in un motore di ricerca.
La catena inizia con quella ricerca. Chi cerca LastPass Authenticator, o un altro strumento largamente usato, segue un link che sembra un normale repository GitHub. Premendo il pulsante di download sulla pagina falsa non si ottiene direttamente un file: si attiva una serie di reindirizzamenti che terminano su server controllati dagli attaccanti. Quei server restituiscono archivi ZIP la cui dimensione è stata gonfiata fino a 148 megabyte, una tecnica pensata per rendere più difficile la scansione di sicurezza automatica. All'interno dell'archivio c'è un installer che in realtà è una copia rinominata di vsdbg.exe, il legittimo Microsoft Visual Studio CoreCLR Debugger. Il programma è stato configurato per fare sideload di una libreria malevola chiamata vsdbg.dll, il che significa che uno strumento Microsoft fidato viene abusato per caricare un file fornito dall'attaccante.
L'installer deposita anche un driver kernel, un pezzo di software che gira a uno dei livelli di privilegio più profondi di Windows, al di sotto delle normali applicazioni, dove i prodotti di sicurezza trovano molto difficile rimuoverlo. Il file si chiama Alinubx.sys ma è mascherato da componente NVIDIA con il nome nvfsflt64.sys, e si registra come servizio chiamato NvFsFilter. LastPass afferma che il driver agisce come EDR killer e contiene una lista hardcoded di 145 processi antivirus e di endpoint detection and response che tenta di terminare. Nella sua spiegazione, LastPass descrive come il driver chiami ObOpenObjectByPointer con AccessMode=KernelMode, che aggira il normale percorso SeAccessCheck in modalità utente al momento dell'apertura dell'handle. Il driver chiede al kernel di aprire il processo come codice kernel e poi lo uccide, ed è per questo che riesce a sconfiggere Protected Process Light, la protezione su cui molti prodotti di sicurezza fanno affidamento per sopravvivere anche a un amministratore. Il driver attualmente non è nella blocklist di driver vulnerabili di Microsoft, e la copia usata nella campagna è firmata attraverso la catena Windows Hardware Compatibility Publisher di Microsoft, quindi Windows la considera affidabile. Alinubx.sys contiene anche codice per nascondere file e voci di registro, iniettare librerie, intercettare driver e processi, manipolare il traffico e reindirizzare porte, ma LastPass dice che quelle capacità non sembrano essere attivate in questa campagna.
Con il software di sicurezza fermato, Rapuncel inizia a raccogliere dati. Secondo LastPass e Delphos Labs, preleva credenziali salvate in 25 browser web, dati da 30 portafogli di criptovalute, credenziali di sessione per Discord, Steam e Telegram, il contenuto di Windows Credential Manager, documenti i cui nomi contengono le parole password, seed, wallet o recovery, screenshot di ogni monitor collegato e informazioni dettagliate sul sistema. Per superare la crittografia legata all'app che Google usa per proteggere le password salvate in Chrome, Edge e browser correlati, Rapuncel inietta una libreria di supporto nel browser e avvia un proprio Elevation Service. I dati raccolti vengono compressi e caricati su un server all'indirizzo 2.26.126[.]50 in una richiesta formattata come normale traffico web ma inviata su una connessione TCP grezza. Il malware sopravvive anche ai riavvii registrandosi come servizio di Windows, così qualsiasi strumento di sicurezza che torni in vita viene terminato di nuovo prima che l'infostealer venga eseguito.
LastPass e Delphos Labs hanno dichiarato di aver valutato con moderata confidenza che Rapuncel sia una variante di una famiglia esistente chiamata BoryptGrab, e che il suo loader sia stato costruito con un crypter chiamato Cruciferra PUROSANGUE, uno strumento progettato per incapsulare codice malevolo in modo che gli scanner fatichino a riconoscerlo. Il loro consiglio agli utenti è semplice: scaricare software solo da siti ufficiali, evitare repository GitHub dubbi e saltare o bloccare i risultati promossi in Google Search. Il punto più ampio è che questo attacco non entra in un computer attraverso una falla di Windows; riesce perché una pagina di download dall'aspetto affidabile, ospitata su una piattaforma che la maggior parte delle persone associa al codice open source, viene usata per consegnare i file malevoli.
Per i team IT che preferiscono non affidarsi a un singolo livello di protezione endpoint, AEU-I, il servizio di consulenza IT e infrastrutturale del gruppo orientato alla sicurezza, lavora con le organizzazioni su questo tipo di revisione infrastrutturale e di sicurezza, e la sua pagina di servizio illustra cosa copre. Che questo aiuto serva o no, il primo passo pratico resta lo stesso per tutti: considerare la pagina di download, non il sistema operativo, come il luogo dove questa campagna vince o perde.