LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einem gefälschten LastPass-Authenticator-Installer, der über eine manipulierte GitHub-Seite verbreitet wird. Der Schädling lädt einen signierten Windows-Kernel-Treiber, schaltet Antivirus- und EDR-Komponenten ab und startet anschließend den eigentlichen Passwortdiebstahl. Betroffen sind laut den Angaben vor allem gespeicherte Browserpasswörter sowie Daten aus Windows Credential Manager und Krypto-Wallet-Dateien. Zusätzlich versucht die Schadsoftware, Administratorrechte bis auf SYSTEM-Ebene zu erreichen und den Angriff nach jedem Neustart erneut auszuführen.
Ein vermeintlich legitimer Download für den „LastPass Authenticator“ wird derzeit zum Einfallstor für einen mehrstufigen Angriff auf Windows-Systeme. Der Köder führt Nutzer über eine gefälschte GitHub-Seite mit Produkt-Lookalike-Struktur auf einen Share-Chain aus GitHub-Seiten, bevor ein ZIP-Archiv von einem Angreifer-Server geladen wird. Erst im Archiv tauchen die eigentlichen Schritten des Missbrauchs auf: neben einer umbenannten Kopie eines echten Microsoft-Tools liegt eine schädliche DLL, die beim Ausführen des „Installers“ über DLL Side-Loading in den Prozesskontext gelangt. Damit bekommt der Angreifer früh Kontrolle über die Umgebung, und kann anschließend die Rechteausweitung beginnen.
Der entscheidende Hebel ist ein Kernel-Treiber, den die Forscher als Alinubx.sys benennen. Kernel-Treiber laufen unterhalb der Ebene, auf der typische Antivirus- und Endpoint-Detection- und -Response-Systeme (EDR) ihre Schutzlogik abarbeiten. Der Treiber trägt eine Abschaltlogik, indem er in einer Liste enthaltene Prozessnamen von Sicherheitssoftware identifiziert und beendet. Damit wird die Sicherheitsumgebung in einem Stadium gestört, in dem viele Schutzfunktionen noch auf User-Mode-Events und damit auf Datenzugriffe außerhalb des Kernels setzen. Der technische Missbrauch folgt außerdem dem Muster „Bring Your Own Vulnerable Driver“ (BYOVD): Eine grundsätzlich signierte Komponente wird nicht für ihre Sicherheit, sondern für ihre Nutzbarkeit als Zugangsschicht ausgewählt.
Dass der Treiber scheinbar „vertrauenswürdig“ wirkt, hängt mit dem Signierpfad zusammen: Die Treiber-Signatur läuft über den Microsoft Windows Hardware Compatibility Publisher, und als Signierdatum nennt der Bericht März 2023. Für Defender-Strategien ist das ein wichtiger Punkt, denn Attestierungs- und Signierinformationen belegen in erster Linie, dass der Build den Trust-Pipeline-Schritt passiert hat – nicht, dass der konkrete Zweck auf dem Zielsystem harmlos ist. Parallel dazu fanden die Forscher bei einem Abgleich im August keine Detektionen über VirusTotal für die damals geprüfte Version. Auf der Blocklist-Ebene blieb der Treiber ebenfalls zunächst ohne Wirkung: Delphos prüfte am 20. August, ob die Datei oder der zugehörige bekannte Ursprung auf der Microsoft-vulnerable-driver-blocklist gelistet war, und fand dort keine Einträge. Das zeigt, wie eng „Blocklist-basierte“ Schutzmechanismen an exakte Hash-Werte gebunden sind.
Der Angriff setzt dabei auf eine Kombination aus Umbenennung und gezielter Größenmanipulation, um Erkennung zu umgehen. Im ZIP lagen zwei Größenangaben von 148 MB und 127,9 MB; die Archive wurden mit zusätzlichen Junk-Dateien aufgefüllt, sodass Scanner mit Größenlimits die Inhalte weniger zuverlässig analysieren konnten. Zudem basiert der Kernel-Treiber laut Bericht auf einer umbenannten Kopie eines Treibers, der dem Umfeld eines chinesischen Datensicherungsprodukts zugeordnet wird. Die „Rename“-Strategie ist dabei nicht nur kosmetisch: Die Forscher beschreiben, dass die ursprüngliche Treiberdatei noch von einigen Engines erkannt wurde, während die umbenannte Variante in derselben Prüflogik keine Treffer auslöste. Gerade dieses Muster erklärt, warum Hash-basierte Blocklisten allein nicht genügen, wenn Angreifer Signaturen und Dateinamen so anpassen, dass die Referenzen nicht mehr exakt passen.
Nachdem der Kernel-Treiber die Sicherheitskomponenten gekappt hat, startet der eigentliche Diebstahl. Der Bericht nennt als Ziel gespeicherte Passwörter aus mehr als zwei Dutzend Browsern, dazu Krypto-Wallet-Dateien und Session-Daten für Dienste wie Discord, Steam und Telegram. Außerdem übernimmt die Schadsoftware Inhalte aus dem Windows Credential Manager sowie Dateien, die nach Mustern wie „password“, „seed“ oder „recovery“ benannt sind. Für Chrome und Edge wird zudem ein spezieller Weg beschrieben: Diese Browser nutzen eine app-gebundene Verschlüsselung, die genau für solche Bedrohungen ausgelegt ist. Der Stealer injiziert dennoch Code in den Browserprozess und nutzt die eigenen Browser-Dienste, um Passwörter selbst entschlüsseln zu lassen. Die entnommenen Daten werden anschließend in ein ZIP gepackt und an einen Angreifer-Server gesendet.
Für Betroffene folgt daraus eine klare Priorität in der Incident Response. Wer den gefälschten Installer ausgeführt hat, sollte gespeicherte Browserpasswörter als kompromittiert behandeln und zusätzlich nach Hinweisen auf Zugriff auf Wallet-Dateien sowie auf Sessions für Discord, Steam und Telegram suchen. Passwörter zu ändern ist dabei nur halb so viel wert, solange die Änderung vom gleichen, noch laufenden System aus erfolgt: Laut Bericht bleibt der Treiber geladen, tötet erneut Sicherheitsprozesse und führt den Stealer nach jedem Neustart erneut aus. Deshalb empfiehlt sich der Austausch der Geheimnisse von einem separaten, sauberen Gerät aus sowie eine unmittelbare Sichtung der Kontenaktivitäten. In vielen Fällen sollte das Ereignis außerdem nicht als „nur Malware“ eingeordnet werden, sondern als potenzieller Kernel-Level-Compromise, der eine gründliche forensische Prüfung oder Neuaufbau einschließt.
Für das Hunting schlagen die Forscher vor, nicht nur auf einen einzelnen Dateinamen zu starren, weil sich die Betreiber bei Bedarf erneut umbenennen oder neu verpacken. Stattdessen sollte nach der Treiber-„Linie“ und nach dem Verhalten gesucht werden: etwa nach der Erstellung eines Services namens „NvFsFilter“, nach dem Ablagepfad eines Treibers in C: \Windows\System32\drivers, nach Signaturmerkmalen, die im Bericht mit „Henan Dafeng Software“ bzw. „CnCrypt“ in Verbindung gebracht werden, sowie nach dem charakteristischen Device-Pfad \.Alinubx. Entscheidend ist auch die Sequenz aus „Treiber wird geladen“ und „Sicherheitsprozesse werden beendet“. Da sich die Dateihashes ändern können, sollte der Abgleich mit Indikatoren auf Verhalten und Signaturattributen ausgerichtet werden; eine Community-Erkennung existiert zwar, aber sie bleibt in der Praxis anfällig, wenn die Datei erneut umgebaut wird.
Abschließend ordnen die Angaben die Kampagne in einen breiteren Trend ein: Gefälschte Repositorys und Installer-Ketten über GitHub gelten seit Monaten als bevorzugter Verbreitungsweg für Stealer-Familien. Der Bericht verweist zudem darauf, dass ähnliche Wellen bereits dokumentiert wurden, darunter ein Stealer, der im März über GitHub verbreitet wurde, und eine größere Zahl solcher Repositories im Juli. Delphos bewertet den Loader mit hoher Wahrscheinlichkeit als mit einem als „Cruciferra“ beschriebenen Crypter gebaut, dessen Kill-Logik ebenfalls 145 Prozessnamen umfasst. Beim Stealer („Rapuncel“) sehen die Forscher eine moderat wahrscheinliche Verwandtschaft zu einer zuvor beobachteten Familie. Unklar bleibt die genaue Zahl kompromittierter Opfer, weil die Veröffentlichung keine Victim-Counts nennt – für Unternehmen ist das aber weniger entscheidend als die Lehre: Signierte, kernelnahe Treiber, kombiniert mit Hash-gebundenen Blocklisten und DLL-Sideloading, verlangen Schutzkonzepte, die nicht nur auf Dateinamen und Einzelhashes reagieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gefälschter LastPass-Installer missbraucht signierten Kernel-Treiber gegen EDR" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gefälschter LastPass-Installer missbraucht signierten Kernel-Treiber gegen EDR" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gefälschter LastPass-Installer missbraucht signierten Kernel-Treiber gegen EDR« bei Google Deutschland suchen, bei Bing oder Google News!