گزارش‌های اخیر حاکی از شناسایی یک کمپین گسترده جعل هویت است که در آن مهاجمان با ایجاد صفحات جعلی در GitHub، نسخه‌های تقلبی اپلیکیشن LastPass Authenticator را برای جذب کاربران توزیع کرده‌اند. هدف نهایی این عملیات، نصب بدافزار سرقت اطلاعات (Infostealer) موسوم به Rapuncel است.
مکانیسم توزیع و مهندسی اجتماعی
مهاجمان با استفاده از تکنیک‌های بهینه‌سازی موتورهای جستجو (SEO)، صفحات GitHub خود را به گونه‌ای تنظیم کردند که در نتایج اولیه جستجوی کاربران برای نرم‌افزار رسمی LastPass ظاهر شوند. برای هدایت قربانیان، از یک زنجیره مسیریابی پیچیده شامل چندین صفحه GitHub و سرورهایی با پوشش Cloudflare استفاده شده است تا مقصد نهایی به‌صورت پویا تغییر کند و شناسایی آن دشوار شود.
تحلیل فنی بدافزار و دور زدن امنیت
پس از دانلود و اجرای فایل نصبی جعلی (که در واقع نسخه‌ای تغییرنام‌یافته از ابزار دیباگ مایکروسافت است)، یک DLL مخرب بارگذاری می‌شود. بدافزار Rapuncel با بهره‌گیری از قابلیت‌های داخلی ویندوز، تلاش می‌کند دسترسی‌های سطح System را به دست آورد. سپس یک درایور هسته (Kernel Driver) را که خود را به عنوان یکی از اجزای گرافیکی NVIDIA معرفی می‌کند، نصب می‌نماید.
این درایور که دارای گواهینامه (Attestation) مایکروسافت است، به‌طور خاص برای متوقف کردن و غیرفعال‌سازی 145 ابزار امنیتی از جمله آنتی‌ویروس‌ها و سیستم‌های تشخیص و پاسخ در نقاط انتهایی (EDR) طراحی شده است. این بدافزار خود را به عنوان یک سرویس ویندوزی تعریف می‌کند تا با هر بار بوت شدن سیستم، مجدداً ابزارهای امنیتی را شناسایی و متوقف کند.
اهداف سرقت داده‌ها
پس از خنثی‌سازی لایه‌های امنیتی، Rapuncel شروع به استخراج اطلاعات حساس زیر می‌کند:
- پسوردهای ذخیره شده در 25 مرورگر مختلف.
- فایل‌های مربوط به 30 کیف پول ارز دیجیتال (Cryptocurrency Wallets).
- توکن‌های Discord، Steam و داده‌های پیام‌رسان Telegram.
- اطلاعات ذخیره شده در Windows Credential Store.
- اسکرین‌شات از تمامی مانیتورهای متصل و پروفایل کامل سیستم.
ارتباط با سایر گروه‌ها و ابزارها
تحلیل‌های فنی نشان می‌دهد که DLL مورد استفاده در این زنجیره عفونت، احتمالاً توسط سرویس رمزنگاری (Crypter) موسوم به Cruciferra و بسته PUROSANGUE تولید شده است. همچنین شباهت‌های رفتاری شدیدی بین Rapuncel و بدافزار BoryptGrab مشاهده شده که نشان می‌دهد این دو احتمالاً نسخه‌های مختلف یا هم‌خانواده هستند.
