Publicado en

Alerta de Ciberseguridad: Instalador falso de LastPass utiliza controladores firmados por Microsoft para anular antivirus

•Publicado enAmenazas y Malware

Una campaña de suplantación sofisticada pone en jaque la confianza en los controladores firmados

Recientemente, investigadores de seguridad de LastPass y Delphos Labs han identificado una amenaza crítica que afecta a usuarios corporativos y particulares. Un instalador falso de LastPass Authenticator, distribuido a través de repositorios fraudulentos en GitHub, está utilizando una técnica avanzada para desactivar soluciones de antivirus y EDR (Endpoint Detection and Response) antes de ejecutar un malware de robo de información.

El mecanismo del ataque: De la ingeniería social al nivel de kernel

El ataque comienza con una página de GitHub diseñada para parecer oficial, la cual aparece en los primeros resultados de búsqueda para términos como «LastPass Authenticator download». Al descargar el archivo, el usuario recibe un paquete ZIP que inicia una cadena de infección altamente técnica:

  • DLL Side-loading: El instalador utiliza una herramienta legítima de depuración de Microsoft (vsdbg.exe) para cargar una librería maliciosa (vsdbg.dll) ubicada en la misma carpeta.
  • Escalada de privilegios: El cargador intenta obtener derechos de administrador hasta alcanzar el nivel de SYSTEM, el rango más alto en un entorno Windows.
  • Técnica BYOVD (Bring Your Own Vulnerable Driver): Se instala un controlador de kernel llamado Alinubx.sys. Este controlador es, en realidad, una versión renombrada de un software legítimo de cifrado de disco que cuenta con una firma válida de Microsoft.

¿Por qué los antivirus no lo detectaron?

Lo más alarmante de este caso es que el controlador malicioso está firmado a través del programa de compatibilidad de hardware de Microsoft. Como señalan los expertos, la atestación de Microsoft demuestra que un controlador pasó por un proceso de validación técnica, pero no garantiza que su propósito sea seguro.

Al operar a nivel de kernel (el núcleo del sistema operativo), el controlador funciona por debajo de las soluciones de seguridad tradicionales. El malware contiene una lista de 145 procesos de seguridad que finaliza de forma inmediata, dejando al equipo totalmente desprotegido sin que el usuario o el software de defensa puedan intervenir.

Impacto: Robo masivo de credenciales y datos sensibles

Una vez que las defensas han sido neutralizadas, el componente principal del ataque, un stealer denominado Rapuncel, procede a recolectar:

  • Contraseñas guardadas en más de dos docenas de navegadores (incluyendo Chrome y Edge).
  • Archivos de carteras de criptomonedas.
  • Sesiones activas de aplicaciones como Discord, Steam y Telegram.
  • Datos almacenados en el Administrador de Credenciales de Windows.

Recomendaciones para empresas y usuarios

Desde el equipo de ciberseguridad de Intedya, recordamos la importancia de seguir protocolos estrictos de descarga de software:

  1. Fuentes Oficiales: Nunca descargue herramientas de autenticación o seguridad desde repositorios de terceros como GitHub. Utilice siempre el sitio web oficial del fabricante o las tiendas de aplicaciones corporativas.
  2. Desconfíe de los resultados de búsqueda: Los atacantes utilizan técnicas de SEO para posicionar sitios fraudulentos. Verifique siempre la URL antes de proceder.
  3. Respuesta ante incidentes: Si sospecha que ha ejecutado este instalador, considere que todas las contraseñas guardadas en ese equipo han sido comprometidas. Cambie sus credenciales desde un dispositivo limpio y realice una revisión forense del sistema afectado, ya que el compromiso a nivel de kernel es difícil de eliminar con herramientas estándar.

Este incidente subraya que la confianza ciega en los certificados digitales y las firmas de grandes fabricantes no es suficiente. La vigilancia activa y la formación en ciberseguridad siguen siendo los pilares fundamentales de la defensa empresarial.

Fuentes