Un instalador falso de LastPass Authenticator abusa de un controlador firmado por Microsoft para desactivar el antivirus y el EDR.

Un instalador falso de LastPass Authenticator, ofrecido en GitHub, instala un controlador del kernel de Windows que desactiva el antivirus y otros programas de seguridad antes de que se ejecute un programa para robar contraseñas, si la víctima lo descarga y ejecuta, según informaron investigadores de LastPass y Delphos Labs el 17 de septiembre.

El programa de compatibilidad de hardware de Microsoft firma el controlador, no detectó ningún error en VirusTotal cuando los investigadores lo analizaron en agosto y no figuraba en la lista de controladores bloqueados de Microsoft. LastPass afirma que ninguno de sus sistemas, servicios ni bóvedas de clientes se vieron afectados, y que los atacantes solo utilizaron su nombre.

El engaño consiste en una página falsa de GitHub (github.com/LastPass-Authenticator) que aparece en los resultados de búsqueda para términos como "descargar LastPass Authenticator" y que simula ser una página real de LastPass.

Al hacer clic en el botón de descarga, el visitante es redirigido a través de varias páginas de GitHub a un servidor del atacante, que sirve un archivo ZIP de gran tamaño. El autenticador LastPass original proviene de lastpass.com y de las tiendas de aplicaciones oficiales, no de GitHub.

Dentro del archivo ZIP se encuentra una copia renombrada de la herramienta de depuración de Microsoft, vsdbg.exe, ubicada junto a un archivo malicioso llamado vsdbg.dll. Al ejecutar el instalador falso, Windows carga la DLL del atacante desde la misma carpeta, una técnica conocida como carga lateral de DLL. El cargador intenta entonces obtener permisos de administrador de tres maneras, alcanza el nivel SYSTEM (el nivel más alto en un sistema Windows) e instala el controlador del kernel como un servicio.