Une campagne de logiciels malveillants exploite de faux dépôts GitHub imitant LastPass Authenticator et au moins 39 autres entreprises pour diffuser Rapuncel, un infostealer jusqu’alors non documenté. Les attaquants combinent empoisonnement SEO, pages GitHub crédibles, archives artificiellement volumineuses et pilote Windows signé afin de contourner plusieurs couches de défense.
L’enquête menée par l’équipe TIME de LastPass avec Delphos Labs montre que la campagne ne résulte pas d’une compromission de LastPass. Aucun coffre-fort, service ou canal officiel de l’entreprise n’a été piraté : les criminels utilisent uniquement sa marque pour convaincre les internautes de télécharger un faux installateur depuis une infrastructure externe.
De Google à un faux dépôt GitHub convaincant
L’attaque commence lorsqu’un utilisateur recherche « LastPass Authenticator download » ou le nom d’un autre logiciel populaire. Un dépôt ou une organisation GitHub optimisé pour les moteurs de recherche peut apparaître parmi les résultats et reprendre logos, descriptions et vocabulaire du produit légitime.
Le bouton de téléchargement conduit vers une page GitHub Pages qui affiche de faux badges tels que « VirusTotal Approved » ou « Secure Archive ». Une chaîne de redirections invisibles, comprenant d’autres pages GitHub et un serveur de pilotage dynamique, masque ensuite l’adresse réelle du serveur distribuant la charge malveillante.
Cette architecture permet aux opérateurs de remplacer rapidement le serveur final sans modifier toutes les pages d’appât. Lors de l’enquête, l’infrastructure observée gérait des leurres correspondant à au moins 40 marques, ce qui indique une plateforme de diffusion réutilisable plutôt qu’une opération visant exclusivement LastPass.
Des archives de 128 à 148 Mo pour éviter les scanners
Les victimes reçoivent des fichiers ZIP portant des noms ressemblant à des versions de LastPass Authenticator. Certains atteignent 127,9 ou 148 Mo, alors que les composants réellement malveillants sont bien plus petits. Deux bibliothèques remplies de données inutiles servent à gonfler l’archive.
Cette technique cible les limites de taille des systèmes d’analyse automatisés. Un fichier trop volumineux peut être ignoré ou soumis à une inspection moins approfondie. La taille importante ne constitue donc pas une preuve de légitimité ; elle peut au contraire être une méthode d’évasion.
Un outil Microsoft détourné par chargement latéral
L’archive contient une copie du débogueur Microsoft Visual Studio CoreCLR, vsdbg.exe, renommée pour ressembler à un installateur. Lors de son exécution, l’application charge automatiquement une bibliothèque vsdbg.dll placée dans le même dossier. Le programme Microsoft est légitime, mais la DLL qui l’accompagne appartient aux attaquants.
Ce mécanisme, appelé DLL side-loading, utilise le comportement normal d’un exécutable signé pour lancer du code non fiable. Le chargeur tente ensuite plusieurs méthodes d’élévation afin d’obtenir les privilèges SYSTEM, déploie Rapuncel et installe un pilote noyau destiné à neutraliser les solutions de sécurité.
Alinubx.sys peut arrêter 145 antivirus et EDR
Le pilote Alinubx.sys est présenté sur la machine comme un composant NVIDIA nommé nvfsflt64.sys. Il embarque une liste codée en dur de 145 processus correspondant à des antivirus et plateformes EDR, puis les termine depuis le noyau Windows.
Le fichier observé disposait d’une signature issue de la chaîne Microsoft Windows Hardware Compatibility Publisher et n’apparaissait pas dans la liste de blocage des pilotes vulnérables consultée par les chercheurs. La signature prouve qu’un fichier a suivi un processus de signature ; elle ne garantit pas que tous ses usages futurs sont bienveillants.
Le pilote contient également des fonctions de dissimulation, d’injection et de manipulation du trafic. Certaines nécessitaient un fichier de configuration absent dans l’échantillon étudié et ne semblaient donc pas activées. Dans cette campagne, sa mission confirmée consistait surtout à éliminer les défenses avant le vol d’informations.
Quelles données Rapuncel dérobe-t-il ?
- Mots de passe et autres identifiants enregistrés dans plus de 25 navigateurs.
- Données de plus de 30 portefeuilles de cryptomonnaies.
- Jetons de session Discord, Steam et Telegram.
- Contenu du Gestionnaire d’identifiants Windows.
- Documents dont le nom contient « password », « seed », « wallet » ou « recovery ».
- Captures de tous les écrans connectés et profil détaillé du système.
Pour Chrome, Edge et les navigateurs utilisant l’App-Bound Encryption, Rapuncel injecte une bibliothèque dans le processus du navigateur et appelle son service de déchiffrement depuis l’intérieur. La requête paraît alors provenir du navigateur légitime, ce qui permet de contourner une protection conçue précisément contre le vol externe des secrets.
Les informations collectées sont compressées puis envoyées vers une infrastructure contrôlée par l’attaquant. Le logiciel crée aussi un service Windows pour survivre aux redémarrages, relancer le vol et arrêter de nouveau les protections qui auraient redémarré.
Rapuncel et l’écosystème BoryptGrab
LastPass et Delphos estiment avec une confiance modérée que Rapuncel est une variante ou une branche apparentée à BoryptGrab. Les campagnes partagent des leurres GitHub optimisés pour la recherche, des archives gonflées, des catégories de données ciblées et une méthode spécifique de contournement du chiffrement des navigateurs.
Les charges ne sont toutefois pas identiques et utilisent des empreintes ainsi qu’une infrastructure de commande différentes. Les chercheurs parlent donc d’un lien probable au même écosystème, pas d’une identité certaine entre les opérateurs ou les familles.
Comment éviter les faux téléchargements GitHub
- Partir du site officiel de l’éditeur et utiliser uniquement les liens qu’il fournit.
- Ne pas considérer GitHub comme un canal officiel si l’éditeur ne le mentionne pas explicitement.
- Éviter les résultats sponsorisés ou les dépôts apparus récemment malgré une présentation professionnelle.
- Vérifier l’organisation, l’historique des publications, les signatures et les empreintes fournies par l’éditeur.
- Bloquer l’exécution depuis les répertoires temporaires et soumettre les archives suspectes à une analyse adaptée aux gros fichiers.
LastPass rappelle que son application Authenticator est distribuée depuis lastpass.com et les boutiques officielles. GitHub n’est pas un canal de téléchargement LastPass. Ce principe doit être appliqué à toutes les marques imitées par la campagne.
Que faire si le faux installateur a été exécuté ?
La présence d’un pilote noyau, d’une persistance SYSTEM et d’un infostealer impose de considérer la machine comme compromise. Il faut l’isoler du réseau, préserver les éléments utiles à l’enquête et utiliser un environnement de récupération fiable. Une réinstallation propre du système est souvent plus sûre qu’une suppression partielle.
Depuis un appareil sain, l’utilisateur doit modifier les mots de passe, révoquer les sessions et jetons, sécuriser les portefeuilles de cryptomonnaies et surveiller ses comptes. La priorité concerne les identifiants enregistrés dans les navigateurs, Windows Credential Manager, Discord, Telegram, Steam et les services financiers.
GitHub n’est pas en cause, mais sa réputation est exploitée
La campagne s’appuie sur une plateforme légitime pour bénéficier de son référencement, de son chiffrement HTTPS et de la confiance des utilisateurs. La présence d’un téléchargement sur github.com ou github.io ne signifie pas que le dépôt appartient à l’éditeur dont il reprend le nom.
Rapuncel illustre une chaîne moderne où chaque élément paraît rassurant : résultat bien classé, page professionnelle, badges de sécurité, outil Microsoft et pilote signé. C’est précisément l’assemblage de ces signaux de confiance qui rend l’attaque efficace.
