Un instalador falso de LastPass Authenticator se aprovecha de un controlador firmado por Microsoft para desactivar el antivirus y el EDR

Una pá­gi­na falsa en una pla­ta­for­ma de alo­ja­mien­to de có­di­go su­plan­ta al ins­ta­la­dor de una he­rra­mien­ta de au­ten­ti­ca­ción, ubi­cán­do­se en los pri­me­ros re­sul­ta­dos de bús­que­da. Al des­car­gar este ar­chi­vo apó­cri­fo, los usua­rios re­ci­ben un pa­que­te com­pri­mi­do de gran ta­ma­ño que uti­li­za una téc­ni­ca de carga la­te­ral para ele­var pri­vi­le­gios hasta el nivel má­xi­mo en el sis­te­ma ope­ra­ti­vo e ins­ta­lar un con­tro­la­dor de nú­cleo.

Este con­tro­la­dor de nú­cleo opera por de­ba­jo del nivel de las he­rra­mien­tas de se­gu­ri­dad ha­bi­tua­les y des­ac­ti­va de­ce­nas de pro­ce­sos de an­ti­vi­rus y pro­gra­mas de pro­tec­ción me­dian­te una lista pre­de­fi­ni­da. Una vez neu­tra­li­za­das las de­fen­sas del equi­po, el pro­gra­ma ma­li­cio­so re­co­pi­la cre­den­cia­les al­ma­ce­na­das en na­ve­ga­do­res, datos de mo­ne­de­ros de crip­to­mo­ne­das, se­sio­nes de di­ver­sas apli­ca­cio­nes de men­sa­je­ría y vi­deo­jue­gos, y otros ar­chi­vos con­fi­den­cia­les para en­viar­los a los ata­can­tes.

El com­po­nen­te prin­ci­pal uti­li­za una firma vá­li­da del pro­gra­ma de com­pa­ti­bi­li­dad de hard­wa­re de Mi­cro­soft y no ge­ne­ra­ba de­tec­cio­nes en pla­ta­for­mas de aná­li­sis an­ti­vi­rus, ade­más de no fi­gu­rar en la lista de blo­queo de con­tro­la­do­res vul­ne­ra­bles de la com­pa­ñía. La misma es­tra­te­gia de su­plan­ta­ción ha sido uti­li­za­da para imi­tar a de­ce­nas de mar­cas adi­cio­na­les a tra­vés de re­po­si­to­rios si­mi­la­res.