El instalador dentro de los archivos es una copia del depurador legítimo Microsoft Visual Studio CoreCLR, 'vsdbg.exe', renombrado y configurado para cargar lateralmente una DLL maliciosa (vsdbg.dll). El instalador despliega el infostealer Rapuncel así como el controlador de kernel Alinubx.sys, que se utiliza para eliminar el software antivirus.

Página de GitHub maliciosa
Fuente: LastPass

El controlador de kernel está disfrazado como un componente de NVIDIA llamado 'nvfsflt64.sys' y se registra como el servicio NvFsFilter.

Según los investigadores, el controlador actúa como un eliminador de EDR que contiene una lista predefinida de 145 procesos antivirus y EDR que pretende terminar.

"El controlador llama a ObOpenObjectByPointer con AccessMode=KernelMode, lo que elude la ruta normal de SeAccessCheck en modo usuario al abrir el identificador", explica LastPass.

"Pide al kernel que abra el proceso como código de kernel y luego lo mata. Es por eso que puede derrotar al Protected Process Light (PPL); la protección en la que confían muchos productos de seguridad para sobrevivir a un administrador".

Actualmente, el controlador no se encuentra en la lista de bloqueo de controladores vulnerables de Microsoft, y el utilizado en la campaña está firmado a través de la cadena de Publicadores de Compatibilidad de Hardware de Windows de Microsoft.

Los investigadores señalaron que Alinubx.sys contiene capacidades adicionales para ocultar archivos y registros, inyección de DLL, interceptación de controladores y procesos, manipulación de tráfico y redirección de puertos, pero no parecen estar activadas en esta campaña.

El infostealer rapuncel

Una vez que el software de seguridad es terminado en el dispositivo, el infostealer Rapuncel comienza a robar datos del dispositivo infectado.

El malware recopila la siguiente información:

* Credenciales almacenadas en 25 navegadores web
* Datos de 30 monederos de criptomonedas
* Credenciales de sesión de Discord, Steam y Telegram
* Contenidos del Administrador de Credenciales de Windows
* Documentos con nombres que contienen "password", "seed", "wallet" o "recovery"
* Capturas de pantalla de cada monitor conectado
* Información detallada del sistema

Para evadir la protección de cifrado vinculada a la aplicación de Google presente en Chrome, Edge y navegadores relacionados, Rapuncel inyecta una DLL auxiliar en la aplicación e invoca su propio Servicio de Elevación.

La información robada se comprime y se carga a un endpoint externo en '2.26.126[.]50' utilizando una solicitud formateada en HTTP enviada a través de TCP puro.

Rapuncel persiste tras los reinicios mediante un servicio de Windows, por lo que cualquier herramienta de seguridad que se reactive es eliminada nuevamente antes de que el infostealer se inicie.

LastPass y Delphos Labs evaluaron con confianza moderada que Rapuncel es una variante de BoryptGrab, mientras que también descubrieron que su cargador fue construido con el crypter Cruciferra PUROSANGUE.

Se recomienda a los usuarios descargar software únicamente desde sitios web oficiales, evitar repositorios de GitHub dudosos y omitir o bloquear los resultados promocionados en la búsqueda de Google.

Fuente:
BleepingComputer