Im Inneren der aufgeblähten ZIP-Archive steckt kein eigenes Installationsprogramm, sondern eine umbenannte Kopie des legitimen Microsoft Visual Studio CoreCLR Debuggers „vsdbg.exe". Diese ist so konfiguriert, dass sie eine bösartige DLL namens vsdbg.dll per Sideloading nachlädt. Der vermeintliche Installer bringt anschließend sowohl den Infostealer Rapuncel als auch den Kernel-Treiber Alinubx.sys auf das System.
Der Treiber tarnt sich als NVIDIA-Komponente unter dem Dateinamen „nvfsflt64.sys" und registriert sich als Dienst NvFsFilter. Laut den Forschern fungiert er als EDR-Killer und trägt eine fest einkompilierte Liste von 145 Antiviren- und EDR-Prozessen, die er beenden soll.
Technisch setzt er dabei an einer Stelle an, an der Windows normalerweise Rechte prüft. „Der Treiber ruft ObOpenObjectByPointer mit AccessMode=KernelMode auf, wodurch der übliche SeAccessCheck-Pfad im Benutzermodus beim Öffnen des Handles umgangen wird", erläutert LastPass. „Er fordert den Kernel auf, den Prozess als Kernel-Code zu öffnen, und beendet ihn dann. Deshalb kann er Protected Process Light aushebeln — jenen Schutz, auf den sich viele Sicherheitsprodukte verlassen, um einen Administrator zu überleben."
Alinubx.sys ist dabei deutlich vielseitiger, als es die Kampagne erkennen lässt: Die Forscher fanden zusätzliche Funktionen zum Verstecken von Dateien und Registry-Einträgen, zur DLL-Injektion, zum Abfangen von Treibern und Prozessen sowie zur Manipulation von Netzwerkverkehr und Portumleitung. Aktiviert scheinen diese Fähigkeiten in der beobachteten Kampagne nicht zu sein. Dass der Treiber weder auf Microsofts Blockliste steht noch über ein zweifelhaftes Zertifikat verfügt, sondern über die Windows-Hardware-Compatibility-Publisher-Kette signiert ist, macht ihn besonders wirksam.
Erst wenn die Sicherheitssoftware auf dem Gerät abgeschaltet ist, beginnt Rapuncel mit dem eigentlichen Datendiebstahl. Um Googles App-Bound-Encryption zu umgehen, die Chrome, Edge und verwandte Browser schützt, injiziert der Stealer eine Hilfs-DLL in die Anwendung und ruft deren eigenen Elevation Service auf. Die erbeuteten Daten werden komprimiert und an den externen Endpunkt 2.26.126[.]50 übertragen — als HTTP-formatierte Anfrage über eine rohe TCP-Verbindung.
Die Schadsoftware überdauert Neustarts über einen Windows-Dienst. Dadurch werden Sicherheitswerkzeuge, die sich nach einem Reboot wieder aktivieren, erneut beendet, bevor der Infostealer startet. Den Loader haben die Angreifer mit dem Crypter Cruciferra PUROSANGUE gebaut.
LastPass und Delphos Labs raten, Software ausschließlich von offiziellen Herstellerseiten zu beziehen, zweifelhafte GitHub-Repositories zu meiden und beworbene Treffer in der Google-Suche zu überspringen oder zu blockieren.