Un LastPass falso se carga el antivirus y lo roba todo

Los usuarios de LastPass Authenticator deberían andar con cuidado: por internet circula una versión falsa de la aplicación que no protege las cuentas, sino que convierte el ordenador en presa de los atacantes. La campaña maliciosa combina una web fraudulenta, la promoción de una página falsa en los buscadores, la sustitución de una biblioteca DLL y un cargador de nuevo malware.

Según LastPass, quien busque en internet «LastPass Authenticator download» o una consulta parecida puede encontrar entre los primeros resultados una página de GitHub. A primera vista, casi copia el sitio oficial de LastPass, pero luego redirige al usuario a otra web controlada por los atacantes. Desde allí se descarga un gran archivo ZIP con varios ficheros.

Merecen especial atención vsdbg.exe y vsdbg.dll. El ejecutable se ha renombrado para que parezca el instalador de LastPass, pero en realidad es una herramienta legítima de Microsoft para depurar programas. Ejecuta el archivo vsdbg.dll, una biblioteca maliciosa que los delincuentes han colocado en la misma carpeta. Esta técnica se llama DLL sideloading, o carga lateral de DLL: el programa legítimo busca primero la biblioteca a su lado y, por eso, carga la versión falsa antes que la del sistema.

LastPass envió una muestra a los especialistas de Delphos. Estos llamaron al malware Rapuncel. En el momento del primer análisis, ningún motor antivirus lo detectaba.

Al ejecutarse, Rapuncel obtiene permisos de administrador e intenta operar como SYSTEM, uno de los niveles de acceso más altos de Windows. Después instala un controlador del núcleo camuflado como componente de NVIDIA. Su código incluye una lista de 145 antivirus y herramientas de protección para dispositivos empresariales. Si detecta alguno de esos programas, lo cierra de inmediato.

Una vez desactivada la protección, Rapuncel roba las contraseñas guardadas en más de 25 navegadores, entre ellos Chrome y Edge; archivos de monederos de criptomonedas de más de 30 aplicaciones; tokens de inicio de sesión de Discord; sesiones de Steam y Telegram; datos del almacén de credenciales de Windows; y documentos cuyos nombres contienen palabras como «password», «seed», «wallet» o «recovery». Además, hace capturas de todos los monitores conectados y recopila un perfil detallado del sistema.

La información recopilada se empaqueta en un archivo ZIP y se envía al servidor de los atacantes. El controlador también puede interceptar el tráfico web: los delincuentes pueden alterar los resultados de búsqueda e insertar anuncios en las páginas visitadas.

Rapuncel cuenta con un mecanismo para mantenerse en el sistema. Instala un servicio de Windows que se inicia con el ordenador y comprueba constantemente si hay herramientas de protección, cerrándolas cuando vuelven a ejecutarse. Los investigadores advierten de que el control total puede mantenerse hasta que se elimine físicamente el controlador del núcleo.

Las herramientas habituales de Windows no bastan para hacerlo. Puede ser necesario iniciar el sistema en modo seguro o recurrir a una herramienta externa de recuperación. Una señal clara de infección es no poder iniciar los antivirus y otros programas de seguridad.

LastPass y Delphos creen que la campaña lleva varios meses activa y que probablemente continuará incluso después de desactivar la infraestructura actual. Los investigadores describen lo ocurrido como una suplantación oportunista de marcas: LastPass es solo una de las 40 empresas cuyos nombres han utilizado los atacantes. Según la compañía, ni los sistemas de LastPass ni los almacenes de datos de sus clientes han sido pirateados o están relacionados con este ataque. Se recomienda descargar aplicaciones únicamente de fuentes oficiales y de confianza.