تحقیقات اخیر نشان‌دهنده یک کمپین گسترده بدافزاری است که در آن مهاجمان با ایجاد صفحات جعلی در GitHub، برندهای مختلفی از جمله LastPass را جعل کرده‌اند تا بدافزار Rapuncel Infostealer را در سیستم‌های قربانیان نصب کنند.
مکانیزم توزیع و فریب کاربران
این حملات با بهینه‌سازی موتورهای جستجو (SEO) آغاز شده تا صفحات جعلی در رتبه‌های بالای نتایج جستجو قرار گیرند. یکی از این صفحات با نام LastPass-Authenticator سعی کرده است اپلیکیشن رسمی تایید هویت LastPass را تقلید کند. کاربران پس از کلیک بر روی دکمه دانلود، وارد یک زنجیره پیچیده از تغییر مسیرها (Redirect Chain) می‌شدند که از چندین حساب GitHub Pages استفاده می‌کرد تا ردپای زیرساخت مهاجمان را پاک کرده و شناسایی آن‌ها را دشوار سازد.
تحلیل فنی بدافزار Rapuncel
این بدافزار پس از نصب، تلاش می‌کند دسترسی‌های سطح Administrator را به دست آورد. یکی از ویژگی‌های خطرناک این بدافزار، نصب یک درایور هسته (Kernel Driver) است که خود را به عنوان یک جزء گرافیکی NVIDIA معرفی می‌کند. هدف از این اقدام، غیرفعال کردن ابزارهای امنیتی و نرم‌افزارهای آنتی‌ویروس در سیستم قربانی است.
داده‌های هدف برای سرقت
پس از خنثی‌سازی ابزارهای دفاعی، Rapuncel اقدام به سرقت گسترده اطلاعات حساس می‌کند، از جمله:
- پسوردهای ذخیره شده در بیش از ۲۵ مرورگر مختلف.
- فایل‌های کیف پول‌های رمز ارز (Crypto Wallets).
- توکن‌های ورود به Discord و Steam و داده‌های نشست (Session) تلگرام.
- ذخیره‌گاه اعتبارنامه‌های ویندوز (Windows Credential Store) و داده‌های Windows Hello.
- هرگونه سندی که در نام آن کلماتی نظیر “password” یا “wallet” به کار رفته باشد.
متخصصان تاکید کرده‌اند که این حملات از طریق جعل برند (Brand Impersonation) صورت گرفته و هیچ‌یک از سیستم‌ها یا مخازن داده‌های رسمی LastPass مورد نفوذ قرار نگرفته است. لازم به ذکر است که GitHub هرگز کانال توزیع رسمی برای محصولات LastPass نیست.
