Repositori GitHub Palsu LastPass Sebarkan Infostealer Rapuncel

Kampanye malware baru memanfaatkan repositori GitHub yang dioptimalkan untuk mesin pencari (SEO) untuk menyamar sebagai perusahaan software terkenal dan menyebarkan information stealer baru bernama Rapuncel.

Kampanye tersebut ditemukan oleh LastPass dan Delphos Labs. Peneliti mengatakan pelaku tidak hanya menyamar sebagai LastPass, tetapi juga setidaknya 39 perusahaan lainnya untuk meyakinkan korban agar mengunduh software dari repositori GitHub palsu.

Serangan menjadi semakin berbahaya karena paket malware juga membawa driver kernel yang telah ditandatangani Microsoft. Driver tersebut dirancang untuk menonaktifkan hingga 145 produk antivirus dan endpoint detection and response (EDR).

Pencarian Software Mengarahkan Korban ke GitHub Palsu

Rantai serangan dimulai ketika pengguna mencari software populer, termasuk LastPass Authenticator, melalui mesin pencari.

Pelaku membuat repositori GitHub palsu yang menggunakan nama, deskripsi, dan konten yang dioptimalkan agar muncul dalam hasil pencarian.

Korban yang mengikuti tautan tersebut kemudian diarahkan ke halaman yang menyerupai repositori software resmi.

Ketika tombol download diklik, korban tidak langsung mendapatkan aplikasi yang dicari. Sebaliknya, mereka melewati serangkaian redirect sebelum akhirnya diarahkan ke server yang mendistribusikan payload berbahaya.

Arsip ZIP yang diberikan kepada korban juga dibuat berukuran sangat besar, mencapai sekitar 148 MB.

Ukuran tersebut sengaja diperbesar untuk membantu melewati atau menghindari sebagian mekanisme pemindaian keamanan.

Installer Menyalahgunakan Visual Studio Debugger

Di dalam arsip ZIP terdapat installer yang sebenarnya merupakan salinan software legitimate milik Microsoft, yaitu Visual Studio CoreCLR Debugger dengan nama vsdbg.exe.

File tersebut telah diubah konfigurasinya sehingga dapat melakukan DLL sideloading terhadap file berbahaya bernama vsdbg.dll.

Dengan memanfaatkan executable legitimate tersebut sebagai loader, pelaku berusaha membuat aktivitas malware terlihat lebih meyakinkan sekaligus mengurangi kemungkinan terdeteksi oleh mekanisme keamanan tertentu.

Installer kemudian memasang dua komponen utama:

• Rapuncel, infostealer yang bertugas mencuri data korban.
• Alinubx.sys, kernel driver yang digunakan untuk menghentikan software antivirus dan EDR.

Driver Microsoft-Signed Digunakan untuk Mematikan Antivirus

Alinubx.sys disamarkan sebagai komponen NVIDIA dengan nama:

nvfsflt64.sys

Driver tersebut kemudian didaftarkan sebagai service bernama NvFsFilter.

Menurut LastPass dan Delphos Labs, driver tersebut memiliki daftar hardcoded yang berisi 145 proses antivirus dan EDR yang menjadi target penghentian.

Kemampuan tersebut memungkinkan malware menonaktifkan software keamanan sebelum Rapuncel mulai mengumpulkan informasi dari perangkat.

Yang membuat driver ini semakin berbahaya adalah cara kerjanya pada tingkat kernel.

Peneliti menjelaskan bahwa driver memanggil ObOpenObjectByPointer dengan AccessMode=KernelMode. Mekanisme tersebut memungkinkan driver membuka proses menggunakan hak akses kernel sehingga melewati jalur pemeriksaan SeAccessCheck yang biasanya berlaku pada user mode.

Setelah berhasil memperoleh akses terhadap proses, driver dapat menghentikannya.

Teknik ini juga memungkinkan driver melewati Protected Process Light (PPL), sebuah mekanisme perlindungan yang digunakan sejumlah produk keamanan untuk mencegah prosesnya dihentikan oleh administrator biasa.

Driver Belum Masuk Vulnerable Driver Blocklist Microsoft

Saat kampanye ini ditemukan, driver tersebut belum tercantum dalam Microsoft Vulnerable Driver Blocklist.

Alinubx.sys yang digunakan dalam kampanye juga memiliki tanda tangan melalui rantai Microsoft Windows Hardware Compatibility Publisher.

Hal ini membuat penyalahgunaan driver menjadi lebih sulit untuk dibedakan dari komponen yang legitimate hanya berdasarkan status tanda tangannya.

Peneliti juga menemukan bahwa Alinubx.sys memiliki kemampuan tambahan, termasuk:

• Menyembunyikan file dan registry.
• DLL injection.
• Intersepsi driver dan proses.
• Manipulasi traffic jaringan.
• Port redirection.

Namun, kemampuan tambahan tersebut belum terlihat digunakan dalam kampanye yang sedang diamati.

Rapuncel Mencuri Data dari Browser dan Crypto Wallet

Setelah software keamanan dihentikan, Rapuncel infostealer mulai mengumpulkan informasi dari perangkat korban.

Malware tersebut dapat mencuri:

• Credential yang tersimpan di 25 browser.
• Data dari 30 cryptocurrency wallet.
• Session credential Discord.
• Session credential Steam.
• Session credential Telegram.
• Isi Windows Credential Manager.
• Dokumen yang memiliki nama mengandung kata seperti password, seed, wallet, atau recovery.
• Screenshot dari seluruh monitor yang terhubung.
• Informasi sistem secara detail.

Kombinasi kemampuan tersebut membuat Rapuncel berpotensi mengambil berbagai jenis data bernilai tinggi dalam satu infeksi.

Selain password browser, pencurian session credential juga dapat memberikan akses ke akun tanpa harus memperoleh password secara langsung.

Rapuncel Berusaha Melewati Perlindungan Browser

Rapuncel juga memiliki mekanisme khusus untuk mengatasi perlindungan app-bound encryption yang digunakan Chrome, Edge, dan browser terkait.

Malware menyuntikkan helper DLL ke dalam aplikasi browser dan kemudian memanggil Elevation Service miliknya sendiri.

Pendekatan tersebut digunakan untuk mengakses data yang dilindungi oleh mekanisme enkripsi browser.

Dengan demikian, perlindungan yang dirancang untuk membatasi pencurian credential browser tidak secara otomatis menghentikan Rapuncel ketika malware telah memperoleh tingkat akses yang diperlukan pada sistem.

Data Dicuri dan Dikirim ke Server Penyerang

Setelah dikumpulkan, informasi korban dikompresi dan dikirimkan ke endpoint eksternal.

Dalam kampanye yang diamati, data dikirim ke:

2.26.126[.]50

Komunikasi tersebut menggunakan request berformat HTTP yang dikirim melalui koneksi raw TCP.

Rapuncel juga memiliki mekanisme persistence melalui Windows service.

Dengan persistence tersebut, malware dapat kembali aktif setelah komputer melakukan reboot.

Jika software keamanan berhasil aktif kembali setelah reboot, komponen driver dapat mencoba menghentikannya lagi sebelum infostealer menjalankan aktivitas pencurian data.

Diduga Berkaitan dengan BoryptGrab

LastPass dan Delphos Labs menilai dengan tingkat keyakinan moderat bahwa Rapuncel merupakan varian dari BoryptGrab.

Peneliti juga menemukan bahwa loader yang digunakan kampanye tersebut dibuat menggunakan Cruciferra PUROSANGUE crypter.

Kombinasi antara loader, driver kernel, persistence, serta infostealer menunjukkan bahwa kampanye ini dirancang untuk mempertahankan akses dan mengurangi kemampuan software keamanan dalam mendeteksi maupun menghentikan aktivitas malware.

Waspadai Software dari Hasil Pencarian

Kampanye Rapuncel menunjukkan bahwa pengguna tidak selalu aman hanya karena file ditemukan melalui GitHub atau muncul di hasil pencarian Google.

Pelaku dapat membuat repositori yang terlihat meyakinkan dan menggunakan teknik SEO agar repositori tersebut muncul ketika korban mencari software populer.

Karena itu, pengguna disarankan untuk:

• Mengunduh software hanya dari situs resmi pengembang.
• Tidak sembarangan mempercayai repositori GitHub yang muncul dari hasil pencarian.
• Memeriksa identitas dan reputasi pemilik repositori sebelum mengunduh file.
• Menghindari hasil pencarian yang mencurigakan atau dipromosikan jika mengarah ke halaman software yang tidak dikenal.
• Tidak menonaktifkan antivirus atau EDR hanya karena installer meminta hal tersebut.
• Berhati-hati terhadap file ZIP berukuran tidak wajar dari sumber yang tidak terpercaya.

Serangan ini juga memperlihatkan bagaimana kombinasi SEO poisoning, DLL sideloading, driver kernel yang memiliki tanda tangan valid, dan information stealer dapat digunakan dalam satu rantai serangan untuk melewati berbagai lapisan keamanan sebelum mencuri data korban.

Sumber: LastPass