偽GitHubリポジトリが情報窃取マルウェアRapuncelの配布に使われる

検索結果から偽リポジトリへ誘導

BleepingComputerは、LastPassとDelphos Labsが、検索向けに最適化したGitHubリポジトリを通じてLastPassと少なくとも39社になりすますキャンペーンを確認したと報じた。
報告によれば、ダウンロードリンクはリダイレクトを経て、RapuncelとAlinubx.sysとされるドライバーを含むZIPアーカイブへ至る。

研究者らは、NVIDIAの部品を装うこのドライバーが、145件のウイルス対策・EDR（端末の検知・対応）プロセスを停止対象にしていると説明している。

この報告での説明では、Rapuncelはそれまで文書化されていなかった。

報告によると、検索向けに最適化された偽のGitHubリポジトリが、LastPassなどのソフトウェア企業になりすまして、これまで文書化されていなかった情報窃取マルウェアRapuncelを、Microsoft署名付きカーネルドライバーとともに配布するようになった。

署名付きドライバーで防御を停止する狙い

報告された配布手法は、検索結果でソフトウェア企業になりすます手口と、署名付きカーネルドライバーを組み合わせている。
研究者らによると、このドライバーには、データ窃取の前にセキュリティ製品を無効化する目的がある。