LastPass hat in Zusammenarbeit mit Delphos Labs eine neue Infostealer-Malware-Variante namens Rapuncel entdeckt, die GitHubs Ruf als vertrauenswürdige Softwareverteilungsplattform ausnutzt.
Der Angriff beginnt mit SEO-optimierten gefälschten GitHub-Repositories, die legitime Software imitieren — LastPass selbst war eine der nachgemachten Marken. Die gefälschten Repositories verwenden offizielle Logos, Produktbeschreibungen und Marketingtexte, um überzeugend zu wirken, und leiten die Opfer über GitHub Pages-Seiten zum Download bösartiger ZIP-Dateien.
Was Rapuncel besonders gefährlich macht, ist die Verwendung eines Kernel-Treibers mit einer gültigen Signatur aus Microsofts Hardware-Kompatibilitätsprogramm. Dies ermöglicht es der Malware, auf dem höchsten Berechtigungslevel auf Windows zu arbeiten und 145 bekannte Antiviren- und EDR-Systeme zu deaktivieren. Da der Befehl vom Kernel-Level kommt, haben die Sicherheitssysteme keine Verteidigung, und Windows gibt keine Warnungen aus, da der Treiber eine offizielle Microsoft-Signatur trägt.
Nach der Installation sammelt Rapuncel gespeicherte Passwörter aus Browsern, einschließlich derer, die durch app-bound Encryption geschützt sind — dies geschieht durch Injizieren von Code, der sich als der Browser selbst ausgibt. Die Malware zielt auch auf Krypto-Wallets, Discord- und Steam-Logins, Telegram-Sitzungsdaten, Windows-Anmeldeinformationen und alle Dokumente ab, die Schlüsselwörter wie Passwort, Seed, Wallet oder Recovery enthalten.
Mindestens 40 Unternehmen wurden durch Namensmissbrauch im gefälschten Repository-Schema ins Visier genommen. LastPass stellte fest, dass die Malware vier Vertrauensebenen ausnutzt: GitHub als Vertriebskanal, Microsofts Signaturvalidierung, einen sauberen VirusTotal-Bericht und die Annahme, dass offizielle Blocklisten bösartige Treiber identifizieren.
