Bộ cài LastPass Authenticator giả dùng driver ký Microsoft để vô hiệu hóa bảo mật
"A fake LastPass Authenticator installer distributed via GitHub delivered a malicious payload that side-loaded a DLL, escalated to SYSTEM, and installed a Microsoft-signed kernel driver to disable antivirus and EDR tools. The driver, identified as Alinubx.sys and derived from a known vulnerable CnCrypt driver, enabled credential theft from browsers, wallet files, and messaging sessions; no CVE was cited, and mitigation relies on blocklisting the driver, removing the payload, and resetting exposed credentials from a clean device."
Rủi ro chiếm quyền ở mức kernel, vô hiệu hóa công cụ bảo mật, và đánh cắp thông tin xác thực trên máy bị nhiễm.
Có thể gây lộ tài khoản doanh nghiệp, gián đoạn vận hành do phải cô lập/khôi phục máy, và phát sinh chi phí ứng cứu sự cố.
Một bộ cài LastPass Authenticator giả được phát tán qua GitHub đã cài đặt một kernel driver trên Windows để vô hiệu hóa antivirus và EDR trước khi chạy mã đánh cắp mật khẩu. Theo nghiên cứu của LastPass và Delphos Labs, tệp độc hại này dùng kỹ thuật DLL side-loading, sau đó leo thang lên SYSTEM và cài driver dưới dạng dịch vụ.
Driver được phát hiện với tên Alinubx.sys và có nguồn gốc từ một driver dễ bị lạm dụng thuộc CnCrypt. Điểm đáng chú ý là driver này được ký qua chuỗi Microsoft Windows Hardware Compatibility Publisher, nhưng điều đó không đồng nghĩa với việc driver an toàn. Khi đã vào nhân hệ điều hành, nó có thể chấm dứt 145 tiến trình bảo mật, khiến các công cụ ở mức người dùng khó phát hiện hoặc ngăn chặn.
Hậu quả là trình đánh cắp thông tin có thể thu thập mật khẩu đã lưu trong hơn 2 chục trình duyệt, dữ liệu ví tiền mã hóa, và phiên đăng nhập của Discord, Steam, Telegram cùng Windows Credential Manager. Khuyến nghị: chặn driver trong blocklist, gỡ bỏ payload, kiểm tra dấu hiệu xâm nhập ở mức kernel, và đổi toàn bộ thông tin xác thực từ thiết bị sạch. Nếu máy đã chạy bộ cài này, nên xem là sự cố xâm nhập nghiêm trọng và cân nhắc dựng lại hệ thống.