Поддельный установщик LastPass отключает антивирусы драйвером с подписью Microsoft

Исследователи LastPass и Delphos Labs сообщили 17 сентября о кампании, в которой поддельный установщик приложения LastPass Authenticator ставит в Windows драйвер уровня ядра. Тот отключает антивирусы и системы EDR, после чего запускается похититель паролей. Сама LastPass подчёркивает, что её системы, сервисы и хранилища клиентов не пострадали — злоумышленники лишь позаимствовали бренд.

Приманка и заражение

Всё начинается с фальшивой страницы на GitHub (github.com/LastPass-Authenticator), которая выглядит как настоящий продукт и попадает в топ поиска по запросам вроде «LastPass Authenticator download». Кнопка загрузки через цепочку страниц ведёт на сервер атакующих, отдающий большой ZIP. Настоящее приложение распространяется только с lastpass.com и из официальных магазинов.

Внутри архива — переименованная копия легитимной отладочной утилиты Microsoft vsdbg.exe и рядом вредоносная vsdbg.dll. При запуске Windows подгружает библиотеку атакующих из той же папки (приём DLL side-loading). Загрузчик тремя способами добивается прав администратора, поднимается до уровня SYSTEM и устанавливает драйвер как службу. Архивы весили 148 и 127,9 МБ — раздуты мусорными файлами, чтобы сканеры с ограничением по размеру их пропускали.

Почему Windows доверяет драйверу

Драйвер, названный исследователями Alinubx.sys, работает ниже уровня, где действуют антивирусы, и по списку из 145 имён процессов защитного ПО завершает каждый найденный. Пользовательские инструменты не видят и не могут остановить это. Приём известен как BYOVD — «принеси свой уязвимый драйвер».

Подпись драйвера получена через Microsoft Windows Hardware Compatibility Publisher, дата — март 2023 года, задолго до кампании. Как формулируют исследователи: аттестация Microsoft доказывает, что драйвер прошёл конвейер доверия, но не то, что он безопасен.

На деле это переименованная копия CcProtect.sys из китайского продукта шифрования дисков CnCrypt, давно числящаяся в каталоге LOLDrivers как «убийца процессов». У оригинала в августе срабатывали 7 из примерно 70 антивирусов, у переименованной версии — ноль. Список блокировки уязвимых драйверов Microsoft сверяется по хешам, а новое имя даёт новый хеш; ни оригинала, ни копии в списке не было. Microsoft на обращение Delphos от 19 августа ответила, что поведение не подпадает под её определение уязвимости, поскольку драйвер не является компонентом Microsoft.

Что крадут

С отключённой защитой похититель собирал пароли из более чем двух десятков браузеров, файлы криптокошельков, сессии Discord, Steam и Telegram, содержимое Windows Credential Manager и файлы с именами вроде «password», «seed» или «recovery». Для Chrome и Edge с их шифрованием app-bound код внедряется в браузер, и расшифровку выполняет сам браузерный сервис. Данные упаковываются в ZIP и уходят на сервер атакующих.

Драйвер остаётся загруженным, при каждой перезагрузке заново убивает защиту и запускает похититель. Заражённую машину следует считать компрометацией уровня ядра, пароли менять с отдельного чистого устройства. Сервер злоумышленников выдавал страницы под минимум 40 брендов; загрузчик собран крипдером Cruciferra, а сам стилер LastPass называет Rapuncel.

Источник: The Hacker News