گزارش‌های اخیر از سوی پژوهشگران LastPass و Delphos Labs نشان می‌دهد که مهاجمان با ایجاد صفحات جعلی در GitHub، کاربران را فریب می‌دهند تا یک نصب‌کننده تقلبی برای LastPass Authenticator دانلود کنند. این بدافزار با بهره‌برداری از یک تکنیک پیشرفته، ابزارهای امنیتی سیستم را پیش از اجرای بدافزار سرقت رمز عبور (Password Stealer) کاملاً غیرفعال می‌کند.
مکانیزم حمله و تکنیک BYOVD
این حمله از روشی به نام Bring Your Own Vulnerable Driver (BYOVD) استفاده می‌کند. در این روش، مهاجم یک درایور هسته (Kernel Driver) را که دارای امضای دیجیتال معتبر مایکروسافت است اما دارای آسیب‌پذیری است، روی سیستم قربانی نصب می‌کند. از آنجایی که درایورها در سطح Kernel اجرا می‌شوند، دسترسی آن‌ها بالاتر از نرم‌افزارهای آنتی‌ویروس و سیستم‌های EDR است.
درایور مورد استفاده در این عملیات (که Alinubx.sys نامیده شده)، لیستی از ۱۴۵ فرآیند مربوط به نرم‌افزارهای امنیتی را دارد و هر کدام از آن‌ها را که در حال اجرا باشد، متوقف می‌کند. به دلیل سطح دسترسی Kernel، ابزارهای امنیتی در سطح User-mode قادر به شناسایی یا مسدود کردن این عملیات نیستند.
جزئیات فنی اجرای بدافزار
- فریب کاربر: ایجاد صفحات جعلی در GitHub که در نتایج جستجو رتبه بالایی دارند و کاربر را به سرور مهاجم هدایت می‌کنند.
- تکنیک DLL Side-loading: مهاجم از یک ابزار دیباگ واقعی مایکروسافت (vsdbg.exe) در کنار یک فایل DLL مخرب استفاده می‌کند تا کد خود را اجرا کند.
- دسترسی SYSTEM: لودر بدافزار تلاش می‌کند تا سطح دسترسی Administrator و در نهایت سطح SYSTEM (بالاترین سطح دسترسی در ویندوز) را به دست آورد تا بتواند درایور را به عنوان یک سرویس نصب کند.
- دور زدن اسکنرها: فایل‌های ZIP ارسالی با حجم‌های بالا (حدود ۱۴۸ مگابایت) و فایل‌های زائد (Junk files) پر شده‌اند تا اسکنرهای امنیتی که محدودیت حجم دارند، از بررسی آن‌ها عبور کنند.
پیامدهای امنیتی و سرقت داده‌ها
پس از غیرفعال شدن ابزارهای امنیتی، بدافزار سرقت رمز عبور (که Rapuncel نامیده شده) وارد عمل می‌شود. این بدافزار موارد زیر را استخراج می‌کند:
- رمزهای ذخیره شده در بیش از ۲۴ مرورگر مختلف.
- فایل‌های کیف پول ارزهای دیجیتال (Cryptocurrency Wallets).
- سشن‌های فعال (Login Sessions) در پلتفرم‌های Discord، Steam و Telegram.
- محتویات Windows Credential Manager و فایل‌هایی با نام‌های حساس مانند “password” یا “recovery”.
برای دور زدن رمزنگاری App-bound در مرورگرهای Chrome و Edge، بدافزار کد را مستقیماً به درون مرورگر تزریق (Inject) کرده و از خودِ سرویس مرورگر برای رمزگشایی داده‌ها درخواست می‌کند.
توصیه‌های امنیتی و مقابله
سیستم‌هایی که در معرض این حمله قرار گرفته‌اند، باید به عنوان Kernel-level Compromise در نظر گرفته شوند. توصیه می‌شود:
۱. تمامی رمزهای عبور ذخیره شده در مرورگر و مدیریت اعتبارنامه‌ها از طریق یک دستگاه پاک و مجزا تغییر داده شوند.
۲. به دلیل اینکه درایور مخرب در هر بار ری‌بوت سیستم، ابزارهای امنیتی را مجدداً غیرفعال می‌کند، پاکسازی ساده با آنتی‌ویروس کافی نیست و سیستم باید بازسازی (Rebuild) یا مورد بررسی فارنزیک در سطح هسته قرار گیرد.
