Cyberprzestępcy wykorzystali GitHuba do rozpowszechniania fałszywego instalatora LastPass Authenticator. Kampania była przygotowana na tyle dobrze, że złośliwe strony mogły pojawiać się wysoko w wynikach wyszukiwania, a jeden z używanych komponentów posiadał podpis Microsoftu. Po uruchomieniu instalatora na komputer trafiał infostealer Rapuncel oraz sterownik potrafiący wyłączać procesy należące do 145 programów antywirusowych i systemów EDR.
To dobry przykład tego, dlaczego sama obecność programu na GitHubie, poprawny podpis cyfrowy czy brak alarmu w VirusTotal nie są jeszcze dowodem, że plik jest bezpieczny. W tej kampanii przestępcy zbudowali cały łańcuch, którego zadaniem było wzbudzenie zaufania użytkownika, a dopiero później przejęcie danych zapisanych na komputerze.
Fałszywy LastPass na GitHubie – jak zaczynał się atak?
Zespół LastPass Threat Intelligence, Mitigation and Escalation wykrył 13 sierpnia 2026 r. fałszywą organizację na GitHubie podszywającą się pod LastPass Authenticator. Dalsza analiza przeprowadzona wspólnie z Delphos Labs pokazała, że nie była to pojedyncza akcja. Ta sama infrastruktura służyła do podszywania się pod co najmniej 40 różnych firm i marek.
Atak zaczynał się dość zwyczajnie. Użytkownik szukał w Google programu lub aplikacji, a następnie trafiał na stronę GitHub wyglądającą jak oficjalne miejsce pobierania. Oszuści wykorzystywali optymalizację pod wyszukiwarki, aby zwiększyć widoczność fałszywych repozytoriów.
Po kliknięciu przycisku pobierania użytkownik nie otrzymywał jednak normalnego instalatora. Uruchamiany był łańcuch przekierowań przez kolejne strony GitHub Pages i serwer pośredniczący, który ostatecznie kierował do infrastruktury dostarczającej malware.
To ważna lekcja również poza tą konkretną kampanią: GitHub jest platformą do przechowywania kodu, a nie automatycznym potwierdzeniem wiarygodności programu. Jeżeli producent udostępnia aplikację na swojej stronie lub w oficjalnym sklepie, właśnie stamtąd najlepiej ją pobierać.
Dlaczego fałszywy instalator wyglądał wiarygodnie?
Strony przygotowane przez atakujących wykorzystywały elementy mające sugerować, że pobierany plik został sprawdzony. Pojawiały się m.in. fałszywe oznaczenia w rodzaju „VirusTotal Approved” czy „Secure Archive”. Sam instalator również nie wyglądał jak prosty, amatorski malware.
W archiwum znajdowała się zmodyfikowana wersja legalnego narzędzia Microsoft Visual Studio CoreCLR Debugger. Mechanizm DLL side-loading pozwalał następnie uruchomić złośliwą bibliotekę razem z prawidłowym plikiem wykonywalnym.
Dodatkowo archiwa były sztucznie powiększane nawet do około 148 MB. Takie zabiegi mogą utrudniać automatyczne skanowanie i analizowanie plików przez część usług bezpieczeństwa.
Sterownik z podpisem Microsoftu wyłączał zabezpieczenia
Najciekawszym elementem kampanii był sterownik jądra nazwany Alinubx.sys. Na komputerze podszywał się pod komponent NVIDIA i był rejestrowany jako usługa NvFsFilter.
Sterownik zawierał listę 145 nazw procesów należących do programów antywirusowych i systemów EDR. Po uzyskaniu odpowiednich uprawnień mógł kończyć ich działanie z poziomu jądra Windows. Dawało to atakującym możliwość osłabienia ochrony komputera przed uruchomieniem właściwego infostealera.
Co szczególnie istotne, używany w kampanii sterownik był podpisany przez łańcuch Microsoft Windows Hardware Compatibility Publisher. Taki podpis zwiększa zaufanie systemu do sterownika, ale – jak pokazuje ten przypadek – nie oznacza, że każdy podpisany sterownik jest bezpieczny.
Według analizy LastPass i Delphos Labs sterownik nie znajdował się wówczas również na liście blokowanych podatnych sterowników Microsoftu. W sierpniu próbka nie była wykrywana przez żaden z 72 silników sprawdzających ją w VirusTotal.
Rapuncel kradnie hasła, sesje i dane z przeglądarek
Po osłabieniu zabezpieczeń uruchamiany był infostealer śledzony przez badaczy pod nazwą Rapuncel. Jego zadaniem nie jest szyfrowanie danych ani wyświetlanie komunikatu z żądaniem okupu. Malware działa po cichu i zbiera informacje, które później można wykorzystać do przejmowania kont lub dalszych ataków.
Rapuncel potrafi m.in. wykradać:
- hasła zapisane w wielu popularnych przeglądarkach,
- ciasteczka i dane sesji przeglądarki,
- dane z Windows Credential Manager,
- dane związane z portfelami kryptowalut,
- sesje Discorda, Steama i Telegrama,
- pliki, których nazwy sugerują obecność haseł, fraz odzyskiwania lub danych portfeli,
- zrzuty ekranu i informacje o systemie.
Szczególnie niebezpieczna jest kradzież aktywnych sesji. Nawet konto chronione dodatkowym uwierzytelnianiem może być zagrożone, jeśli napastnik przejmie prawidłowy token sesji. Więcej o tym mechanizmie opisaliśmy w poradniku jak działa kradzież sesji przeglądarki i przejęcie konta mimo 2FA.
Czy LastPass został zhakowany?
Nie. W tym przypadku nazwa LastPass była przynętą. Firma podkreśla, że jej systemy, usługi i sejfy użytkowników nie zostały naruszone w ramach tej kampanii.
Atakujący stworzyli po prostu infrastrukturę podszywającą się pod znaną markę i wykorzystali ją do nakłonienia użytkowników do samodzielnego pobrania oraz uruchomienia malware.
Oficjalny LastPass Authenticator powinien być pobierany ze strony LastPass lub oficjalnych sklepów z aplikacjami. GitHub nie jest oficjalnym kanałem dystrybucji tego programu.
Jak rozpoznać fałszywy instalator?
Nie istnieje jeden test, który w 100% potwierdzi bezpieczeństwo każdego pliku. Można jednak wyeliminować dużą część ryzyka, sprawdzając kilka elementów przed uruchomieniem instalatora.
| Co sprawdzić? | Na co zwrócić uwagę? |
|---|---|
| Źródło pobierania | Najpierw wejdź na oficjalną stronę producenta i dopiero stamtąd przejdź do pobierania. |
| Adres strony | Podobna nazwa domeny, nietypowa subdomena lub przypadkowe repozytorium GitHub powinny wzbudzić ostrożność. |
| Wynik wyszukiwania | Wysoka pozycja w Google nie jest gwarancją bezpieczeństwa. Złośliwe strony również mogą być pozycjonowane. |
| Podpis cyfrowy | Podpis jest ważnym sygnałem, ale nie daje absolutnej gwarancji, że plik nie zostanie wykorzystany w ataku. |
| VirusTotal | Brak wykrycia oznacza tylko, że w danym momencie silniki nie rozpoznały zagrożenia. |
| Zachowanie programu | Nieoczekiwane wyłączanie antywirusa, prośby o podwyższone uprawnienia lub uruchamianie dodatkowych procesów wymagają sprawdzenia. |
Jeżeli podejrzany plik został pobrany po kliknięciu nietypowego wyniku wyszukiwania lub linku, warto najpierw ustalić, co dokładnie się wydarzyło. Przygotowaliśmy osobny poradnik: kliknąłem w podejrzany link – co zrobić krok po kroku?
Co zrobić, jeśli uruchomiłeś fałszywy instalator LastPass?
Jeżeli plik został jedynie pobrany, ale nie został uruchomiony, ryzyko jest znacznie mniejsze. Usuń archiwum i instalator, opróżnij kosz, zaktualizuj system ochronny i wykonaj pełne skanowanie.
Jeśli instalator został uruchomiony, sytuację należy traktować poważniej. W przypadku Rapuncela problemem nie jest tylko obecność malware na komputerze, ale możliwość wcześniejszego wykradzenia danych.
- Odłącz komputer od sieci. Ograniczy to dalszą komunikację malware z serwerem atakującego.
- Nie zmieniaj haseł na podejrzanym komputerze. Do zabezpieczania kont użyj innego, zaufanego urządzenia.
- Zacznij od poczty i menedżera haseł. Przejęcie głównej skrzynki e-mail może pozwolić na resetowanie haseł do kolejnych usług.
- Wyloguj aktywne sesje. Sama zmiana hasła nie zawsze unieważnia wszystkie wcześniej wydane tokeny sesji.
- Sprawdź konta finansowe i kryptowalutowe. Jeżeli na zainfekowanym komputerze były przechowywane frazy odzyskiwania lub dane portfela, należy założyć, że mogły zostać skopiowane.
- Przeskanuj komputer poza normalnie uruchomionym systemem. W przypadku malware działającego na poziomie sterownika zwykłe skanowanie uruchomionego Windows może być niewystarczające.
- Rozważ czystą instalację systemu. Jeżeli potwierdzono uruchomienie tej konkretnej próbki albo programy ochronne zostały wyłączone w nietypowy sposób, reinstalacja systemu może być pewniejszym rozwiązaniem niż samo usuwanie pojedynczych plików.
Najważniejszy wniosek: nie ufaj jednemu sygnałowi
Kampania Rapuncel pokazuje, że cyberprzestępcy nie muszą już polegać na prymitywnych stronach i plikach natychmiast wykrywanych przez antywirusa. W tym przypadku wykorzystano GitHuba, pozycjonowanie w wyszukiwarce, legalny program Microsoftu, mechanizm DLL side-loading oraz podpisany sterownik.
Każdy z tych elementów osobno mógł zwiększać wiarygodność instalatora. Dopiero spojrzenie na cały proces – skąd pochodzi program, kto go udostępnia i czy jest to oficjalny kanał producenta – pozwalało zauważyć problem.
Najprostsza zasada pozostaje więc aktualna: oprogramowanie pobieraj bezpośrednio ze strony producenta lub oficjalnego sklepu, a nie z przypadkowego wyniku wyszukiwania.
