Un antivirus può proteggerti se un malware lo spegne prima di essere notato? È la domanda che pone Rapuncel, un infostealer (un programma che ruba password, cookie e sessioni) scoperto da LastPass il 13 agosto 2026 e analizzato insieme a Delphos Labs.
L'esca: un LastPass che non è LastPass
Gli attaccanti hanno creato una falsa organizzazione GitHub che imita LastPass Authenticator. Repository, pagine GitHub Pages e siti posizionati bene sui motori di ricerca (il cosiddetto SEO poisoning) portano la vittima, tramite vari redirect, a scaricare un archivio. Lo stesso kit prepara esche anche per almeno 40 altre aziende. Gli archivi pesano circa 128-148 MB: sono gonfiati apposta per superare i limiti di dimensione delle analisi automatiche. LastPass precisa che i suoi sistemi e i vault non sono stati compromessi: gli attaccanti sfruttano solo il nome.
Dentro il pacchetto
L'archivio contiene una copia legittima del debugger di Microsoft, rinominata, e una DLL malevola messa accanto. Windows carica la DLL al posto di quella vera: è il DLL side-loading. La catena tenta poi diversi metodi per ottenere privilegi SYSTEM, cioè il massimo livello sulla macchina, e solo a quel punto avvia Rapuncel.
Il driver che fa il lavoro sporco
Il pezzo più delicato è un driver kernel, Alinubx.sys, salvato su disco come nvfsflt64.sys e registrato come driver NVIDIA. Un driver kernel gira con i privilegi più alti del sistema, e un programma normale non può fermarlo. Questo riceve dall'esterno gli identificativi dei processi e li termina direttamente dal kernel. Contiene un elenco di 145 nomi di processi di antivirus ed EDR da chiudere prima che il furto cominci. La catena di firma arriva al programma Microsoft Windows Hardware Compatibility Publisher, quindi Windows lo considera affidabile. Non è un driver legittimo con una falla, ma un driver creato per far danni. Nelle prime analisi passava su VirusTotal senza rilevamenti significativi e non compariva nella blocklist Microsoft di agosto. Dopo la segnalazione del 19 agosto, Microsoft ha risposto che il caso non rientra nella definizione di vulnerabilità di un suo componente e ha rimandato i ricercatori al canale di valutazione della blocklist.
Cosa viene rubato
Rapuncel prende credenziali e sessioni da oltre 25 browser, più di 30 wallet di criptovalute, Discord, Steam, Telegram e Windows Credential Manager. Ha anche un modulo per aggirare la protezione delle chiavi di Chrome ed Edge (App-Bound Encryption). Il driver ha altre funzioni, come nascondere file e chiavi di registro, ma nella campagna osservata non risultavano attive per la mancanza di un file di configurazione. Il modello è Malware-as-a-Service: più operatori possono riusare lo stesso strumento.
💬 Il mio commento
Il dettaglio che mi colpisce di più è l'ironia di fondo: si sfrutta la fiducia in un password manager, cioè in uno strumento che serve a essere prudenti. Ma non è un problema di chi ha cliccato. Un risultato in prima pagina e un repository con un bel README ingannano anche persone attente, e l'azienda che ha un catalogo di software approvato spesso non ce l'ha per l'autenticatore o per la mini-utility che serve "solo a me". Sul campo vedo che i download "al volo" da GitHub, fatti da chi ha i diritti di amministratore locale, sono uno dei varchi più comuni, e qui il salto a SYSTEM è proprio ciò che l'attacco cerca.
Sull'EDR sono meno drastico di chi dice che "non serve più": serve, ma non può essere l'unica linea. Un driver firmato Microsoft non è sinonimo di sicuro, e questo mi sembra il punto scomodo: la firma dice da dove passa un driver, non cosa fa. Non so dire quanto Microsoft potrà stringere i controlli senza rendere impossibile la vita ai produttori onesti: è un equilibrio davvero difficile. Nel frattempo, la cosa più sensata da fare adesso è togliere i diritti di amministratore locale agli utenti e bloccare l'installazione di software non approvato, con un allarme sulle installazioni di nuovi driver e sulle chiusure anomale dell'antivirus.