Alerta Crítico: Repositórios Falsos no GitHub Distribuem Novo Infostealer Rapuncel e Desativam EDRs

A campanha do Rapuncel usa repositórios falsos no GitHub, otimizados para mecanismos de busca, que simulam softwares conhecidos como o LastPass Authenticator. Ao procurar por esses programas, usuários são direcionados a esses repositórios. No download, recebem um arquivo ZIP inflado, com até 148MB, para evitar a detecção de scanners. Dentro, há uma cópia renomeada do depurador legítimo do Microsoft Visual Studio CoreCLR, o vsdbg.exe, que carrega uma DLL maliciosa (vsdbg.dll). Esta DLL instala o infostealer Rapuncel e um driver de kernel perigoso, o Alinubx.sys.

O Alinubx.sys é a peça chave da evasão. Assinado pela Microsoft através da cadeia de certificação de hardware e mascarado como um componente da NVIDIA, ele atua como um 'matador' de EDR/Antivírus. Ele contém uma lista de 145 processos de segurança que tenta finalizar. O driver usa uma técnica de acesso privilegiado ao kernel (ObOpenObjectByPointer com AccessMode=KernelMode) para abrir e encerrar esses processos, ignorando defesas como o Protected Process Light (PPL). Com a segurança desativada, o Rapuncel rouba credenciais de 25 navegadores, dados de 30 carteiras de criptomoedas, sessões de Discord, Steam e Telegram, além de capturas de tela e documentos sensíveis. Ele persiste no sistema como um serviço do Windows.

A campanha do infostealer Rapuncel eleva o patamar de ameaças já conhecidas. O CEVIU News noticiou em 16 de julho de 2026 sobre ataques no GitHub que distribuíam o infostealer BoryptGrab, e a análise de segurança atual aponta que o Rapuncel é uma variante do BoryptGrab. A novidade alarmante é a incorporação de um driver de kernel, o Alinubx.sys, assinado por um certificado legítimo da Microsoft, capaz de desativar 145 produtos de segurança. Essa capacidade de suprimir EDRs e antivírus no nível do kernel representa uma sofisticação na evasão que não era tão proeminente nas campanhas anteriores de distribuição de infostealers via GitHub.

Este ataque tem implicações graves. A capacidade de um driver malicioso, com assinatura legítima da Microsoft, desativar múltiplas soluções de segurança de endpoint anula uma camada crucial de defesa. Isso força empresas a repensar suas estratégias de cibersegurança, que não podem mais depender exclusivamente de EDRs e antivírus para proteção de perímetro. É crucial implementar uma defesa em profundidade, incluindo monitoramento de integridade de sistemas, detecção de anomalias, e aprimoramento da educação de usuários sobre higiene digital e verificação de fontes de software. A confiança em ferramentas básicas de segurança está sendo corroída, exigindo uma postura mais proativa e multicamadas.