Специалисты LastPass совместно с Delphos Labs раскрыли масштабную кампанию, в которой злоумышленники создают на GitHub поддельные репозитории, выдавая их за проекты LastPass и ещё как минимум 39 компаний. Эти репозитории продвигаются через поисковые системы и используются для распространения нового инфостилера под названием Rapuncel.

Вредоносная схема строится на том, что пользователи находят фальшивые страницы через поисковики и скачивают оттуда файлы, считая их легитимным софтом. Вместе со стилером атакующие поставляют драйвер, подписанный сертификатом Microsoft, что позволяет обходить проверки подписи и затрудняет обнаружение.

Ключевая особенность драйвера в том, что он способен отключать до 145 защитных продуктов, фактически расчищая почву для кражи данных. Rapuncel при этом ориентирован на сбор учётных данных, токенов и другой чувствительной информации с заражённых машин.

Масштаб кампании впечатляет: поддельные репозитории маскируются под проекты десятков известных брендов, а не только LastPass. Это превращает GitHub и поисковую выдачу в удобный канал доставки вредоноса для широкой аудитории.

Последствия могут быть серьёзными: доверие к репозиториям на GitHub как к источнику кода снова под вопросом, а подписанный драйвер усложняет работу антивирусов. Компаниям и пользователям стоит перепроверять источники загрузок и внимательнее относиться к ссылкам из поиска.