Instalador falso do LastPass usa driver da Microsoft para desativar antivírus
Um falso instalador do LastPass Authenticator hospedado no GitHub foi identificado como vetor de um ataque sofisticado que desativa soluções de segurança do Windows antes de roubar senhas e dados sensíveis. Pesquisadores da LastPass e Delphos Labs detalharam que, ao baixar e executar o instalador fraudulento, a vítima permite que um driver de kernel seja instalado, capaz de encerrar processos de mais de 140 antivírus e ferramentas de proteção.
O driver malicioso, batizado de Alinubx.sys, utiliza uma técnica conhecida como BYOVD (bring your own vulnerable driver), aproveitando-se de um driver legítimo assinado pelo programa oficial da Microsoft. Isso permite que o componente atue em nível inferior ao das soluções tradicionais de segurança, tornando-se praticamente invisível para elas. O arquivo é uma versão renomeada do CcProtect.sys, originalmente parte de um software chinês de criptografia, e não estava presente na lista oficial de bloqueio da Microsoft quando a campanha foi detectada.
Após desabilitar as defesas do sistema, o malware coleta senhas salvas em navegadores, arquivos de carteiras de criptomoedas e sessões de aplicativos populares como Discord, Steam e Telegram. Em navegadores como Chrome e Edge, o código injeta comandos para obter as credenciais diretamente dos serviços internos dos browsers, contornando mecanismos avançados de criptografia.
A disseminação ocorre por meio de páginas falsas no GitHub que simulam repositórios oficiais, levando usuários desavisados a baixar um arquivo ZIP volumoso com arquivos legítimos e maliciosos lado a lado. O ataque também utiliza técnicas para dificultar a detecção por antivírus baseados em tamanho ou assinatura digital.
Especialistas recomendam que máquinas afetadas sejam tratadas como comprometidas em nível de kernel, exigindo análise forense profunda ou reinstalação completa do sistema. O caso evidencia falhas nos mecanismos atuais de bloqueio e validação de drivers no Windows, ressaltando a necessidade constante de atualização das listas de bloqueio e cautela ao buscar instaladores fora dos canais oficiais.
Fonte original: thehackernews.com
Acessar publicação original
Resumo editorial criado automaticamente pela Eletrônica Americana com base em fontes internacionais públicas, com finalidade informativa.
Além de se manter informado, você pode aprofundar seus conhecimentos em nossos guias de compra, com informações e comparações que ajudam na escolha de produtos. Para conhecer características, especificações, pontos positivos e limitações, confira nossos reviews de produtos, elaborados com base em informações oficiais, dados públicos e avaliações de consumidores. Você também pode acompanhar nossa seleção de ofertas e descontos disponíveis nas principais lojas.
