מי שחיפש בגוגל את אפליקציית האימות של LastPass בזמן האחרון היה עלול להגיע לעמוד GitHub שנראה בדיוק כמו של החברה: שם מוכר, תיאור מסודר, כפתור הורדה גדול. הלחיצה על הכפתור מעבירה דרך כמה שרתים ומסתיימת בקובץ ZIP ששוקל עד 148 מגהבייט. בתוכו לא הייתה אפליקציית אימות אלא נוזקה חדשה בשם Rapuncel.

מה קרה

החוקרים של LastPass ושל חברת המחקר Delphos Labs, שחשפו את הקמפיין, מונים עמודי GitHub מזויפים שמתחזים ל-LastPass ולעוד 39 חברות תוכנה לפחות. העמודים נבנו כך שיטפסו גבוה בתוצאות החיפוש, וזו כל שיטת ההפצה. אין כאן מייל, אין הודעה בוואטסאפ, יש מישהו שמחפש הורדה ומוצא אותם.

הקובץ גדול בכוונה. שירותי סריקה רבים מוותרים על בדיקה של ארכיון בגודל כזה, ולכן הניפוח המלאכותי עוזר לו לעבור. מה שמריצים בפועל הוא קובץ לגיטימי של מיקרוסופט, כלי ניפוי שגיאות של Visual Studio, ששינו לו את השם, והוא טוען לתוך עצמו ספרייה זדונית שמונחת לידו באותה תיקייה. לטכניקה הזאת קוראים DLL sideloading, והיא עובדת כי מנגנוני ההגנה רואים תוכנה חתומה ומוכרת שנפתחת כרגיל.

לפני שהנוזקה מתחילה לאסוף מידע היא מסלקת את מי שאמור לעצור אותה. ההתקנה מביאה איתה דרייבר שמתחזה לרכיב של NVIDIA, ובתוכו רשימה קשיחה של 145 מוצרי אנטי-וירוס ומערכות זיהוי ותגובה (EDR) שהוא סוגר אחד אחרי השני. הדרייבר חתום דרך שרשרת החתימות של מיקרוסופט לרכיבי חומרה, ולפי הדיווח הוא עדיין לא נכנס לרשימת הדרייברים החסומים שלה.

מה ש-Rapuncel אוספת אחר כך: פרטי אימות מ-25 דפדפנים, מידע מ-30 ארנקי קריפטו, חיבורים פתוחים לחשבונות Discord, Steam וטלגרם, התוכן של מנהל פרטי האימות של Windows, צילומי מסך מכל מסך מחובר, וכל מסמך ששמו מכיל את המילים password, seed, wallet או recovery. החוקרים מעריכים ברמת ביטחון בינונית שמדובר בגרסה של נוזקה קודמת בשם BoryptGrab, כלומר גם הם לא קובעים את זה כעובדה.

למה זה חשוב לכם

GitHub הוא האתר שבו מפתחים מאחסנים קוד, והשם שלו נשמע אמין. זה בדיוק מה שהתוקפים קונים כאן, כי עמוד שמתארח בכתובת מוכרת לא עבר שום בדיקה וכל אחד יכול לפתוח כזה בחמש דקות. הורדה של תוכנה לפי תוצאת חיפוש, בלי לוודא שהגעתם לאתר של היצרן עצמו, היא הצעד שבו נופלים.

מי שמנהל סיסמאות בתוכנה ייעודית או מחזיק מטבעות קריפטו נמצא בראש הרשימה. הקבצים שהנוזקה מחפשת לפי שם, seed ו-recovery, הם בדיוק אלה שאנשים שומרים על שולחן העבודה כשהם פותחים ארנק חדש ולא רוצים לשכוח את המילים.

מה עושים?

הורידו תוכנה רק מהאתר של היצרן. הקלידו את הכתובת בעצמכם במקום להגיע אליה דרך חיפוש.

דלגו על התוצאות הממומנות בראש עמוד החיפוש. בקמפיינים מהסוג הזה הן הדרך המהירה ביותר להגיע לעמוד מזויף.

אם הלחיצה על הורדה מקפיצה אתכם דרך כמה הפניות לשרת אחר, עצרו שם. הורדה אמיתית מגיעה מהכתובת שעליה הסתכלתם.

אם כבר הרצתם התקנה כזאת, ממכשיר אחר החליפו את הסיסמאות החשובות, ובראשן סיסמת האב של מנהל הסיסמאות, והעבירו מטבעות קריפטו לארנק חדש. מחשב שהנוזקה עבדה עליו לא מתנקה בהרצה אחת של אנטי-וירוס, כי היא רשומה כשירות ומחזירה את עצמה בכל הפעלה.

הקישור שהוביל לנוזקה לא הגיע בהודעה חשודה ממספר לא מוכר. הוא היה שם למעלה, בתוצאות החיפוש.