Notícia
Rapuncel: novo infostealer se passa por LastPass e desativa 145 antivírus
Rodrigo ColissiIntrodução
Uma campanha ativa de malware está usando repositórios do GitHub otimizados para mecanismos de busca (SEO poisoning) para se passar pelo LastPass (empresa de gerenciamento de senhas) e por pelo menos outras 39 empresas, distribuindo um infostealer até então não documentado: Rapuncel. A descoberta foi feita pelo TIME Team da LastPass em parceria com a Delphos Labs (laboratório de pesquisa em segurança cibernética) no dia 13 de agosto de 2026.
Além do infostealer, os repositórios entregam um driver de kernel assinado pela Microsoft (via programa Windows Hardware Compatibility Publisher — WHCP) que é capaz de desativar 145 produtos antivírus e EDR (endpoint detection and response). O driver, nomeado Alinubx.sys, não consta na lista de drivers vulneráveis bloqueados pela Microsoft.
Nota de honestidade. A campanha foi documentada por LastPass e Delphos Labs e continua ativa. Não há vítimas brasileiras confirmadas até o momento. A relação exata entre Rapuncel e o stealer BoryptGrab (documentado pela Trend Micro em março de 2026) é avaliada com confiança moderada — há indícios, mas não evidências conclusivas de mesma autoria.
Contexto
A campanha utiliza a mesma mecânica de supply chain observada em ataques anteriores com repositórios falsos no GitHub, como o caso do malware KREMLIN, que também distribuía payloads maliciosos através de páginas falsas de ferramentas legítimas (leia a cobertura em /news/kremlin-malware-extensao-chrome-rouba-sessoes-banco-brasil). A diferença crítica aqui está na sofisticação técnica: o uso de um driver kernel assinado pela Microsoft com zero detecções no VirusTotal — e a capacidade de eliminar qualquer software de segurança antes do roubo de dados.
Qualquer usuário que pesquise por "LastPass Authenticator download" ou softwares populares similares pode encontrar estas páginas falsas no topo dos resultados de busca e ser direcionado à cadeia de infecção.
Cadeia de ataque: do GitHub ao malware
O SEO poisoning e as páginas falsas
Usuários que buscam pelo "LastPass Authenticator" no Google encontram uma organização fraudulenta no GitHub (github[.]com/LastPass-Authenticator) ranqueada entre os primeiros resultados. A página usa logotipos oficiais, descrições de produto e um botão proeminente "GET - LASTPASS AUTHENTICATOR". O layout é idêntico ao de uma página legítima de download.
Uma segunda página similar (github[.]com/LastPass-S) usava linguagem sobre um produto "macOS LastPass". A equipe TIME avalia que o mesmo ator operava múltiplas contas de impersonação.
O portal de download falso
Ao clicar no botão, a vítima é levada a uma página no GitHub Pages (lastpass-authenticator[.]github[.]io) que mostra uma interface de download convincente, com badges falsos de segurança como "Authorized Access", "VirusTotal Approved" e "Secure Archive", além de uma animação de "Validating session".
A cadeia de redirecionamento oculta
A página roteia a vítima por duas contas adicionais do GitHub Pages (edgarcostartqd[.]github[.]io e dallikilic54[.]github[.]io) que agem como waypoints ocultos. Cada uma usa um arquivo 404.html customizado com JavaScript que captura o caminho da URL e redireciona silenciosamente para o próximo estágio — um técnica que explora o comportamento padrão de erro do GitHub Pages para funcionar como um redirecionador encoberto.
Um servidor Cloudflare (istatlmenus[.]com) atua como direcionador dinâmico de tráfego. Em vez de codificar o endereço do servidor de payload nas páginas de chamariz, a cadeia busca o destino em istatlmenus[.]com/mandua[.]wonted em tempo de execução. Isso permite que o operador mude o servidor a qualquer momento atualizando um único endpoint.
Os destinos terminais observados — macperformancetools[.]com e zaffersnouty[.]com — estavam ambos estacionados no momento da análise, consistentes com o operador reduzindo atividade visível após a detecção pelos pesquisadores.
O download inflado
A vítima recebe um arquivo ZIP de até 148 MB. O tamanho gigantesco é intencional: a maioria das ferramentas automatizadas de segurança tem limites de tamanho para escanear e simplesmente pula arquivos grandes. Dentro do ZIP, dois arquivos (TitanStorage.dll e ProManager.dll) são lixo puro para inflar ainda mais o pacote. Os arquivos maliciosos reais são pequenos e escondidos entre os legítimos.
DLL side-loading com o depurador da Microsoft
O instalador dentro do arquivo ZIP é, na verdade, uma cópia do depurador legítimo vsdbg.exe do Microsoft Visual Studio CoreCLR Debugger, renomeado e configurado para carregar uma DLL maliciosa (vsdbg.dll) da mesma pasta. O Windows carrega automaticamente esta DLL ao executar o executável — uma técnica conhecida como DLL side-loading (exploração do carregamento automático de bibliotecas pelo sistema operacional). A mesma técnica foi documentada em campanhas anteriores, como no caso do AsyncRAT com injeção via CharMap (leia em /news/asyncrat-injecao-charmap-amsi-bypass).
O malware tenta três métodos diferentes para obter acesso de administrador, explorando recursos nativos do Windows para elevação de privilégio. Uma vez bem-sucedido, executa como SYSTEM — o nível mais alto de privilégio no Windows. Neste ponto, o instalador implanta o driver Alinubx.sys e o infostealer Rapuncel.
Alinubx.sys: o driver que desativa 145 antivírus
O driver malicioso se disfarça de componente NVIDIA, nomeado nvfsflt64.sys, e se registra como o serviço "NvFsFilter" ("NVIDIA File System Filter Driver"). O mais preocupante: o driver foi assinado pela Microsoft através do programa Windows Hardware Compatibility Publisher (WHCP), o que significa que o Windows confia nele incondicionalmente. No momento da publicação, ele não faz parte da lista de drivers vulneráveis bloqueados da Microsoft.
Como o bypass de PPL funciona
O driver contém uma lista codificada de 145 processos de antivírus e EDR que deve encerrar. A técnica é devastadoramente simples:
O driver chama ObOpenObjectByPointer com o parâmetro AccessMode definido como KernelMode. Isso faz com que o kernel abra o processo-alvo como se fosse código do próprio kernel, ignorando completamente a verificação SeAccessCheck do modo usuário. É por isso que ele consegue derrotar a proteção PPL (Protected Process Light) — a proteção na qual muitos produtos de segurança confiam para sobreviver até mesmo a um administrador.
Como o comando de encerramento vem do nível kernel (abaixo de onde os produtos de segurança operam), nenhum antivírus consegue bloquear ou detectar a ação.
Capacidades adicionais (não ativadas)
O código do Alinubx.sys contém funcionalidades para ocultação de arquivos e chaves de registro, injeção de DLL (ProtectR3.dll) em todos os processos em execução, interceptação de drivers e processos, manipulação de tráfego de rede e redirecionamento de portas. Nesta campanha, o driver foi usado exclusivamente para matar produtos de segurança — as demais capacidades exigem um arquivo de configuração (Alinubx.ccf) que não foi fornecido.
Rapuncel: o infostealer em detalhes
Com os produtos de segurança desativados, o Rapuncel entra em ação e rouba um amplo conjunto de dados da máquina infectada.
Alvos de coleta
- Credenciais armazenadas em 25 navegadores (Chrome, Edge, Firefox, Opera, Brave, etc.)
- Dados de 30 carteiras de criptomoedas
- Tokens de sessão de Discord, Steam e Telegram (o malware inicia o Steam silenciosamente se não estiver rodando e varre sua memória)
- Conteúdo do Windows Credential Manager
- Documentos cujo nome contenha "password", "seed", "wallet" ou "recovery"
- Capturas de tela de todos os monitores conectados
- Informações detalhadas do sistema
Bypass da criptografia app-bound do Chrome e Edge
O Chrome introduziu em 2024 a app-bound encryption (criptografia vinculada ao aplicativo), uma proteção projetada especificamente para impedir que malware leia senhas armazenadas. Para contorná-la, o Rapuncel injeta uma DLL auxiliar diretamente no processo do navegador e invoca seu próprio Elevation Service. Como a solicitação de descriptografia vem de dentro do próprio navegador, a proteção é completamente anulada.
Persistência e comunicação
O Rapuncel se instala como um serviço do Windows, garantindo que qualquer ferramenta de segurança reativada após a reinicialização seja encerrada novamente antes do stealer ser executado. Os dados roubados são compactados em um arquivo ZIP e enviados para o servidor C2 em 2.26.126.50 usando uma requisição HTTP sobre TCP puro. Se o upload falha, o malware tenta novamente três vezes com pausas de dois segundos entre cada tentativa.
Origem do malware
A LastPass e a Delphos Labs avaliam, com confiança moderada, que o Rapuncel é uma variante do BoryptGrab, infostealer documentado pela Trend Micro em março de 2026. O loader foi construído com o crypter Cruciferra PUROSANGUE (documentado pela Proofpoint em 2025) ou um derivado próximo.
Como se proteger
Baixe software apenas de fontes oficiais. A regra mais básica é também a mais eficaz. O LastPass Authenticator legítimo está disponível exclusivamente em lastpass.com e nas lojas oficiais de aplicativos (App Store, Google Play). O GitHub não é um canal de distribuição da LastPass.
Desconfie de repositórios GitHub suspeitos. Verifique o nome da organização, a data de criação da conta, o número de estrelas e a qualidade do README. Páginas recém-criadas com nomes que imitam marcas conhecidas (LastPass-Authenticator, LastPass-S) são sinais de alerta.
Evite ou bloqueie resultados promovidos em buscadores. A campanha depende de SEO para ranqueamento orgânico. Use bloqueadores de anúncios e extensões de segurança que sinalizam domínios suspeitos.
Para empresas: mantenha o bloqueio de drivers vulneráveis atualizado. Embora o Alinubx.sys ainda não esteja na blocklist oficial da Microsoft, soluções como o Wazuh (plataforma SIEM open-source) podem ser configuradas para monitorar carregamento de drivers não autorizados e alertar sobre assinaturas desconhecidas.
Implemente controle de aplicação. O DLL side-loading depende da execução de binários não sinalizados ou renomeados em diretórios de usuário. Ferramentas de application control (WDAC, AppLocker) podem bloquear a execução de executáveis não autorizados.
Conclusão
A campanha Rapuncel representa uma escalada na sofisticação de ataques via supply chain no GitHub. A combinação de SEO poisoning para atrair vítimas, um driver kernel assinado pela Microsoft sem detecção no VirusTotal, e um infostealer com capacidade de bypass da criptografia app-bound do Chrome cria um cenário onde as defesas tradicionais são insuficientes. O fato de o driver assinado não constar na blocklist da Microsoft abre uma janela crítica de exploração que pode durar semanas ou meses até que a assinatura seja revogada.
Este caso reforça que a superfície de ataque não se limita a e-mails de phishing: a busca por software legítimo em navegadores também é um vetor ativo e perigoso.
Perguntas frequentes
O que é o Rapuncel?
É um infostealer (ladrão de informações) descoberto em setembro de 2026 pelo TIME Team da LastPass em parceria com a Delphos Labs. Ele rouba credenciais de navegadores, carteiras de criptomoedas, tokens de sessão de Discord/Steam/Telegram e documentos sensíveis.
Como a infecção começa?
Através de repositórios falsos no GitHub otimizados para mecanismos de busca (SEO poisoning). Usuários que pesquisam por "LastPass Authenticator" ou softwares similares encontram páginas falsas que imitam produtos legítimos e fazem o download de um instalador malicioso.
O que torna este ataque diferente?
O uso de um driver de kernel assinado pela Microsoft (Alinubx.sys) que desativa 145 produtos de segurança chamando ObOpenObjectByPointer no modo KernelMode, ignorando completamente a proteção PPL. O driver tinha zero detecções no VirusTotal durante a análise.
O Rapuncel afeta usuários no Brasil?
Não há vítimas brasileiras confirmadas até o momento da publicação. A campanha é global e visa usuários que buscam por softwares populares como o LastPass Authenticator.
Quais navegadores e carteiras são afetados?
O Rapuncel ataca 25 navegadores (incluindo Chrome, Edge, Firefox, Opera, Brave) e 30 carteiras de criptomoedas. Ele também consegue bypassar a proteção app-bound encryption do Chrome e Edge.
O driver Alinubx.sys ainda funciona?
Sim. O driver não está na lista de drivers vulneráveis bloqueados pela Microsoft (Windows Vulnerable Driver Blocklist). Ele foi assinado pelo programa WHCP da Microsoft.
Onde baixar o LastPass Authenticator com segurança?
Exclusivamente em lastpass.com e nas lojas oficiais de aplicativos (App Store e Google Play). O GitHub não é um canal de distribuição da LastPass.
O Rapuncel é uma variante de outro malware?
Pesquisadores avaliam com confiança moderada que o Rapuncel é uma variante do BoryptGrab. O loader foi construído com o crypter Cruciferra PUROSANGUE ou um derivado próximo.
Qual é o IOC (indicador de comprometimento) do C2?
O servidor de comando e controle (C2) do Rapuncel é 2.26.126.50, utilizando comunicação HTTP sobre TCP puro para exfiltração de dados.
O que fazer se eu suspeitar que fui infectado?
Desconecte o computador da rede imediatamente, faça uma varredura com ferramentas como o Wazuh ou outro EDR confiável em modo offline, e troque todas as senhas armazenadas no navegador usando outro dispositivo limpo.
Fontes e leituras adicionais
- BleepingComputer — Fake LastPass Authenticator GitHub repos push new Rapuncel infostealer — 18/09/2026
- LastPass Blog (TIME Team + Delphos Labs) — One Kit, Forty Companies: How a Malware-as-a-Service Platform Used GitHub as a Distribution Network for its Campaign — 17/09/2026
- Trend Micro — BoryptGrab Report (março 2026) — 03/2026