Фальшивый LastPass убивает антивирус и крадёт всё

Пользователям LastPass Authenticator стоит проявить осторожность: в интернете распространяется поддельная версия приложения, которая не защищает аккаунты, а превращает компьютер в добычу для злоумышленников. Вредоносная кампания сочетает фальшивый сайт, продвижение поддельной страницы в поисковиках, подмену библиотеки DLL и загрузчик нового вредоносного ПО.

По данным LastPass, человек, который ищет в интернете «LastPass Authenticator download» или похожий запрос, может увидеть высоко в результатах страницу на GitHub. Внешне она почти копирует официальный ресурс LastPass, но затем перенаправляет пользователя на другой сайт, принадлежащий атакующим. Оттуда загружается большой ZIP-архив с несколькими файлами.

Особого внимания заслуживают vsdbg.exe и vsdbg.dll. Исполняемый файл переименован так, чтобы выглядеть как установщик LastPass, однако на самом деле это легитимный инструмент Microsoft для отладки программ. Он запускает файл vsdbg.dll — вредоносную библиотеку, которую преступники положили в ту же папку. Такой приём называется DLL sideloading, или боковой загрузкой DLL: легитимная программа сначала ищет библиотеку рядом с собой и поэтому запускает поддельную версию раньше системной.

LastPass передала образец специалистам Delphos. Они назвали вредоносную программу Rapuncel. На момент первого анализа ни один антивирусный движок не распознавал её.

После запуска Rapuncel получает права администратора и пытается работать на уровне SYSTEM — это один из самых высоких уровней доступа в Windows. Затем вредоносная программа устанавливает драйвер ядра, замаскированный под компонент NVIDIA. В его коде зашит список из 145 антивирусов и средств защиты корпоративных устройств. Если программа обнаруживает такое ПО, она немедленно его завершает.

Отключив защиту, Rapuncel крадёт сохранённые пароли более чем из 25 браузеров, включая Chrome и Edge, файлы криптовалютных кошельков более чем из 30 приложений, токены входа Discord, сессии Steam и Telegram, данные хранилища учётных данных Windows, а также документы, в названиях которых встречаются слова «password», «seed», «wallet» или «recovery». Кроме того, вредоносная программа делает снимки всех подключённых мониторов и собирает подробный профиль системы.

Собранные сведения упаковываются в ZIP-архив и отправляются на сервер атакующих. Драйвер умеет также перехватывать веб-трафик: преступники могут подменять результаты поиска и вставлять рекламу на посещаемые страницы.

У Rapuncel есть механизм закрепления в системе. Вредоносная программа устанавливает службу Windows, которая запускается вместе с компьютером, а затем постоянно проверяет наличие средств защиты и завершает их работу после повторного запуска. Исследователи предупреждают: полный контроль может сохраняться до физического удаления драйвера ядра.

Обычные инструменты Windows для этого недостаточны. Для удаления может потребоваться запуск в безопасном режиме или использование внешнего средства восстановления. Один из заметных признаков заражения — невозможность запустить антивирусы и другие программы безопасности.

LastPass и Delphos считают, что кампания действует уже несколько месяцев и, вероятно, продолжится после отключения текущей инфраструктуры. Исследователи называют происходящее оппортунистической имитацией брендов: LastPass оказался лишь одной из 40 компаний, чьи названия использовали злоумышленники. Системы LastPass и хранилища данных его клиентов, по заявлению компании, не были взломаны и не связаны с этой атакой. Пользователям рекомендуют скачивать приложения только из проверенных официальных источников.