假冒 LastPass Authenticator 安装程序滥用微软签名的驱动程序终止杀毒软件和 EDR

LastPass 和 Delphos Labs 的研究人员于 9 月 17 日表示，在 GitHub 上提供的一个假冒 LastPass Authenticator 安装程序，会在受害者下载并运行它后安装一个 Windows 内核驱动程序，先关闭杀毒软件和其他安全软件，然后再运行密码窃取器。

该驱动程序由微软自己的硬件兼容性计划签名，研究人员在 8 月检查时在 VirusTotal 上的检出率为零，且不在微软的被阻止驱动程序列表中。LastPass 表示，其自身的任何系统、服务或客户保险库均未受影响，攻击者只是借用了它的名义。

诱饵是一个假冒的 GitHub 页面 (github.com / LastPass-Authenticator)，它在 "LastPass Authenticator download" 等搜索词的搜索结果中排名靠前，看起来像一个真实的 LastPass 产品页面。

点击下载按钮会让访问者经过多个 GitHub 页面，最终到达一个攻击者服务器，该服务器提供一个大型 ZIP 文件。真正的 LastPass Authenticator 来自 lastpass.com 和官方应用商店，而非 GitHub。

ZIP 内是一个真实微软调试工具 vsdbg.exe 的改名副本，旁边放置着一个名为 vsdbg.dll 的恶意文件。当假冒安装程序运行时，Windows 会从同一文件夹加载攻击者的 DLL，这一伎俩称为 DLL side-loading。加载器随后尝试三种方式获取管理员权限，达到 SYSTEM——Windows 机器上的最高级别——并将内核驱动程序安装为服务。

所见的压缩包大小为 148 MB 和 127.9 MB，其中填充了垃圾文件，使有大小限制的扫描器跳过它们。

驱动程序做了什么，以及为什么 Windows 信任它

内核驱动程序运行在杀毒软件和端点检测与响应 (EDR) 工具运作的层级之下。研究人员将其命名为 Alinubx.sys，它携带一个包含 145 个杀毒和安全进程名称的列表，并终止其发现的每一个正在运行的进程。

它从内核中、在安全软件运行的层级之下执行此操作，因此那些用户态工具无法阻止或看到这个查杀过程。加载一个合法签名但可被滥用的驱动程序来获得这种访问权限是一种已知技术，称为 bring your own vulnerable driver（BYOVD），The Hacker News 此前曾报道过。

该驱动程序通过 Microsoft Windows Hardware Compatibility Publisher 信任链签名，签名日期为 2023 年 3 月，远早于此次行动。正如研究人员所言："微软认证只证明一个驱动程序通过了信任流水线，并不能证明该驱动程序是安全的。"

该查杀列表是此驱动程序在这里唯一运行的部分。它的代码还可以隐藏文件、注入其他程序并重定向网络流量，但这些功能需要一个攻击者未包含的配置文件，因此它们未被激活。

它所做的事情已足够。安全软件被关闭后，窃取器从二十多个浏览器中收集了已保存的密码、加密货币钱包文件，以及 Discord、Steam 和 Telegram 的登录会话，还有 Windows Credential Manager 的内容以及名称类似 "password"、"seed" 或 "recovery" 的文件。

对于使用 Google 的 app-bound 加密来专门防范此类攻击的 Chrome 和 Edge，窃取器会向浏览器注入代码，并请求浏览器自身的服务来解密密码。数据被压缩成一个 ZIP 并发送到攻击者服务器。

为什么没有任何东西发现它

该驱动程序是 CcProtect.sys 的改名副本，后者是来自中国磁盘加密产品 CnCrypt 的驱动程序，已被列入 LOLDrivers 目录作为一个进程查杀器，并带有公开的概念验证代码。两者共享相同的产品名称、版本和提交者；只有文件名和描述发生了变化。

这一改动使文件的杀毒检测率下降：8 月时，已知的原始文件在约 70 个引擎中有 7 个将其标记，而改名后的驱动程序检出率为零。

阻止列表则是另一回事。微软的易受攻击驱动程序阻止列表自 Windows 11 2022 更新以来默认开启，会阻止列表中的驱动程序加载。Delphos 于 8 月 20 日检查了它，发现改名后的驱动程序和已知的原始文件都不在其中。改名并没有骗过阻止列表，因为原始文件本来就不在其中。

阻止列表匹配已知的文件哈希，而改名或重新编译的驱动程序会产生列表中不包含的新哈希。在 9 月 17 日报告发布时，Alinubx.sys 仍未被列入阻止列表。

Delphos 于 8 月 19 日向微软报告了该驱动程序。微软回应称，该行为不符合其安全漏洞的定义，因为该驱动程序不是微软组件，并将研究人员指向了单独的、负责考虑将驱动程序列入阻止列表的渠道。Delphos 当天就在那里重新提交了报告。

如果你运行了假冒安装程序

应将那台机器浏览器中保存的每一个密码视为已被窃取，连同任何加密货币钱包文件、Discord、Steam 和 Telegram 会话，以及 Windows Credential Manager 中的任何内容。窃取器在驱动程序工作开始之前就已将这些内容复制出去。

请从另一台干净设备（而非受影响的设备）更改这些密码，并检查账户活动中是否有任何非你本人所为的操作。该驱动程序会保持加载状态，在每次重启时重新查杀安全工具并重新运行窃取器，从而挫败通常会清理它的那些工具。

运行过此载荷的机器应被视为遭受内核级入侵，并应在可能的情况下进行内核级取证检查或重装。

防御者可以搜寻什么

研究人员表示，应搜寻该驱动程序的谱系和行为，而非单一文件名，因为运营者可以像这次一样再次更改名称。

针对该确切驱动程序的社区检测已发布在 LOLDrivers 上，不过它通过哈希匹配，因此一旦文件发生变化，就会存在同样的弱点。完整的指标见联合报告。

来源

该 LastPass 页面只是众多诱饵之一。LastPass 表示，攻击者服务器至少为 40 个品牌提供冒充页面，另一个几乎相同的、针对 "macOS LastPass" 产品的假冒页面在团队得以检查之前已被下线。

通过假冒 GitHub 仓库投递这一窃取器家族并非新鲜事：Trend Micro 在 3 月记录了以这种方式传播的 BoryptGrab 窃取器，Arctic Wolf 在 7 月报告了近 300 个此类仓库的单独一波行动。

Delphos 高置信度评估认为，该加载器是用 Cruciferra 加壳器构建的，这是一款付费工具，其默认查杀列表同样包含 145 个名称且其驱动程序可互换；并以中等置信度评估认为，该窃取器（LastPass 称之为 Rapuncel）是 BoryptGrab 的近亲而非同一构建版本。感染人数未知；报告未提供受害者数量。