Repos të rremë në GitHub përhapin infostealer Rapuncel, vrasin antivirusin
Repos të rremë në GitHub që paraqiten si faqet e shkarkimit të softuerëve të njohur po përhapin një infostealer të ri të quajtur Rapuncel, dhe i njëjti operacion instalon një driver kernel të nënshkruar nga Microsoft që çaktivizon mbrojtjen antivirus në makinën e infektuar. Fushata u zbulua nga prodhuesi i menaxherit të fjalëkalimeve LastPass së bashku me firmën e sigurisë Delphos Labs, dhe u raportua nga BleepingComputer më 18 shtator 2026. Sipas atij hulumtimi, repos e rreme imitojnë LastPass dhe të paktën 39 kompani të tjera, dhe janë ndërtuar për t'u renditur mirë në rezultatet e kërkimit, kështu që viktima shpesh arrin në to thjesht duke shkruar emrin e një programi popullor në një motor kërkimi.
Zinxhiri fillon me atë kërkim. Dikush që kërkon LastPass Authenticator, ose një mjet tjetër të përdorur gjerësisht, ndjek një lidhje që duket si një repo e zakonshme në GitHub. Shtypja e butonit të shkarkimit në faqen e rreme nuk jep një skedar direkt: ajo nis një seri ridrejtimesh që përfundojnë në servera të kontrolluar nga sulmuesit. Ata servera kthejnë arkiva ZIP, madhësia e të cilave është fryrë deri në 148 megabajt, një teknikë e menduar për ta bërë më të vështirë skanimin automatik të sigurisë. Brenda arkivit është një instalues që në fakt është një kopje e riemërtuar e vsdbg.exe, Debugger-i legjitim CoreCLR i Microsoft Visual Studio. Programi është konfiguruar për të sideload-uar një bibliotekë keqdashëse të quajtur vsdbg.dll, që do të thotë se një mjet i besuar i Microsoft abuzohet për të ngarkuar një skedar të furnizuar nga sulmuesi.
Instaluesi gjithashtu hedh një driver kernel, një pjesë softueri që ekzekutohet në një nga nivelet më të thella të privilegjit në Windows, nën aplikacionet e zakonshme, aty ku produktet e sigurisë e kanë shumë të vështirë ta heqin. Skedari quhet Alinubx.sys por maskohet si një komponent NVIDIA me emrin nvfsflt64.sys, dhe regjistrohet si një shërbim i quajtur NvFsFilter. LastPass deklaron se driver-i vepron si një EDR killer dhe mban një listë të ngurtësuar prej 145 procesesh antivirus dhe endpoint detection and response që përpiqet t'i përfundojë. Në shpjegimin e tij, LastPass përshkruan se si driver-i thërret ObOpenObjectByPointer me AccessMode=KernelMode, duke anashkaluar rrugën normale të SeAccessCheck në user-mode në momentin e hapjes së handle-it. Driver-i i kërkon kernel-it ta hapë procesin si kod kernel dhe pastaj e vret, prandaj mund të mposhtë Protected Process Light, mbrojtjen nga e cila varen shumë produkte sigurie për të mbijetuar edhe ndaj një administratori. Driver-i aktualisht nuk është në listën e bllokimit të Microsoft për driver-ë të cenueshëm, dhe kopja e përdorur në fushatë është nënshkruar përmes zinxhirit Windows Hardware Compatibility Publisher të Microsoft, kështu që Windows e trajton si të besueshëm. Alinubx.sys përmban gjithashtu kod për fshehjen e skedarëve dhe hyrjeve në regjistër, injektimin e bibliotekave, interceptimin e driver-ëve dhe proceseve, manipulimin e trafikut dhe ridrejtimin e portave, por LastPass thotë se ato aftësi nuk duket se janë aktivizuar në këtë fushatë.
Me softuerin e sigurisë të ndalur, Rapuncel fillon të mbledhë të dhëna. Sipas LastPass dhe Delphos Labs, ai merr kredencialet e ruajtura në 25 shfletues web, të dhëna nga 30 portofol cryptocurrency, kredenciale sesioni për Discord, Steam dhe Telegram, përmbajtjen e Windows Credential Manager, dokumente emrat e të cilëve përmbajnë fjalët password, seed, wallet ose recovery, pamje ekrani të çdo monitori të lidhur, dhe informacion të detajuar rreth sistemit. Për të kaluar enkriptimin e lidhur me aplikacionin që Google përdor për të mbrojtur fjalëkalimet e ruajtura në Chrome, Edge dhe shfletues të ngjashëm, Rapuncel injekton një bibliotekë ndihmëse në shfletues dhe nis Elevation Service-in e vet. Të dhënat e mbledhura kompresohen dhe ngarkohen në një server në 2.26.126[.]50 në një kërkesë të formatuar si trafik normal web, por të dërguar përmes një lidhjeje raw TCP. Malware-i gjithashtu mbijeton rindezjet duke u regjistruar si një shërbim Windows, kështu që çdo mjet sigurie që rikthehet në jetë përfundohet përsëri përpara se infostealer-i të ekzekutohet.
LastPass dhe Delphos Labs thanë se vlerësuan me besim të moderuar se Rapuncel është një variant i një familjeje ekzistuese të quajtur BoryptGrab, dhe se loader-i i tij u ndërtua me një crypter të quajtur Cruciferra PUROSANGUE, një mjet i projektuar për të mbështjellë kod keqdashës, në mënyrë që skanerët ta kenë të vështirë ta njohin. Këshilla e tyre për përdoruesit është e drejtpërdrejtë: shkarkoni softuer vetëm nga faqet zyrtare, shmangni repos e dyshimta në GitHub, dhe kaloni ose bllokoni rezultatet e promovuara në Google Search. Pika më e gjerë është se ky sulm nuk depërton në një kompjuter përmes një dobësie në Windows; ai ka sukses sepse një faqe shkarkimi që duket e besueshme, e vendosur në një platformë që shumica e njerëzve e lidhin me kod open source, përdoret për të dorëzuar skedarët keqdashës.
Për ekipet e IT që preferojnë të mos mbështeten në një shtresë të vetme mbrojtjeje endpoint, AEU-I, shërbimi i konsulencës për IT dhe infrastrukturë me sigurinë në qendër i grupit, punon me organizatat për këtë lloj rishikimi të infrastrukturës dhe sigurisë, dhe faqja e tij e shërbimit përshkruan se çfarë mbulon. Pavarësisht nëse kjo ndihmë nevojitet apo jo, hapi i parë praktik mbetet i njëjtë për të gjithë: trajtoni faqen e shkarkimit, jo sistemin operativ, si vendin ku kjo fushatë fiton ose humbet.