Un utente cerca su Google il nome di un software noto, clicca il primo risultato, atterra su un repository GitHub che sembra quello ufficiale e scarica l'installer. Trenta secondi dopo il suo antivirus non esiste più. È la catena della campagna documentata da LastPass e Delphos Labs, che distribuisce un infostealer finora non documentato chiamato Rapuncel insieme a un driver kernel firmato da Microsoft capace di terminare 145 prodotti antivirus e EDR.

I repository falsi impersonano LastPass Authenticator e almeno altre 39 aziende produttrici di software conosciuto, e sono ottimizzati per comparire in alto nei risultati di ricerca.

Cosa è successo

I pulsanti di download nei repository fasulli innescano una serie di redirezioni fino ai server che consegnano il payload. Le vittime ricevono archivi ZIP la cui dimensione è stata gonfiata artificialmente fino a 148 MB: una tecnica vecchia che continua a funzionare, perché molte configurazioni di scansione hanno un limite oltre il quale l'archivio semplicemente non viene ispezionato, e quel limite è quasi sempre lasciato al valore predefinito.

Dentro l'archivio c'è una copia autentica del debugger CoreCLR di Microsoft Visual Studio, vsdbg.exe, rinominata e predisposta per caricare lateralmente una DLL malevola, vsdbg.dll. L'installer deposita due componenti: l'infostealer Rapuncel e il driver kernel Alinubx.sys.

Il driver è la parte tecnicamente rilevante. Si maschera da componente NVIDIA con il nome nvfsflt64.sys e si registra come servizio NvFsFilter. Contiene un elenco cablato di 145 processi di sicurezza da terminare, e per farlo chiama ObOpenObjectByPointer con AccessMode=KernelMode: in sostanza chiede al kernel di aprire il processo come se fosse codice kernel, aggirando il controllo SeAccessCheck che si applica alle richieste provenienti dallo spazio utente. È così che riesce a superare Protected Process Light, la protezione su cui molti prodotti di sicurezza contano per sopravvivere anche a un amministratore locale.

Due dettagli aggravano il quadro. Il primo è che il driver usato nella campagna è firmato attraverso la catena Windows Hardware Compatibility Publisher di Microsoft. Il secondo è che al momento non compare nella blocklist dei driver vulnerabili mantenuta da Microsoft. I ricercatori segnalano inoltre che Alinubx.sys contiene capacità ulteriori — occultamento di file e chiavi di registro, iniezione di DLL, intercettazione di driver e processi, manipolazione del traffico e redirezione di porte — che in questa campagna non risultano attivate.

Una volta spenta la sicurezza dell'endpoint, Rapuncel raccoglie credenziali salvate in 25 browser, dati di 30 portafogli di criptovalute, credenziali di sessione di Discord, Steam e Telegram, il contenuto del Gestore credenziali di Windows, i documenti il cui nome contiene «password», «seed», «wallet» o «recovery», schermate da ogni monitor collegato e informazioni dettagliate di sistema. Per aggirare la cifratura app-bound che Chrome ed Edge usano per proteggere le credenziali, inietta una DLL di supporto nell'applicazione e ne invoca l'Elevation Service. Il materiale viene compresso ed esfiltrato verso l'endpoint 2.26.126[.]50 con una richiesta in formato HTTP inviata su TCP grezzo. La persistenza è affidata a un servizio Windows, così che gli strumenti di sicurezza che dovessero riattivarsi vengano terminati di nuovo prima dell'avvio dell'infostealer.

I ricercatori valutano con confidenza moderata che Rapuncel sia una variante di BoryptGrab e che il suo loader sia stato costruito con il crypter Cruciferra PUROSANGUE.

Cosa significa per le aziende italiane

Il pezzo che conta non è l'infostealer, che per funzionalità somiglia a decine di altri in circolazione. È il driver. Un EDR killer con firma valida, inserita nella catena di attestazione hardware di Microsoft, e non ancora presente nella blocklist, significa che il controllo su cui si regge l'integrità del kernel di Windows — «questo driver è firmato?» — in questo caso non discrimina nulla. HVCI e la Microsoft Vulnerable Driver Blocklist proteggono per elenco: funzionano contro i driver già noti e catalogati. Questo non lo è, e finché non lo sarà la difesa basata sulla firma è un controllo formale che restituisce «sì» a un componente ostile.

Sul perimetro italiano il punto d'attacco è una scelta di configurazione che nelle PMI resiste da vent'anni: l'utente è amministratore locale della propria macchina. La motivazione è sempre la stessa, ed è comprensibile — così installa quello che gli serve senza chiamare l'assistenza. Quella comodità è però esattamente ciò che rende installabile un driver kernel, e quindi ciò che trasforma un download sbagliato in una perdita totale del controllo sull'endpoint. Senza privilegi amministrativi la catena si ferma prima del driver; con quei privilegi non si ferma affatto.

Il bersaglio dichiarato sembra consumer — portafogli di criptovalute, Discord, Steam — ma l'elenco di ciò che viene esfiltrato è aziendale quanto personale. Il Gestore credenziali di Windows, su un PC di lavoro, contiene credenziali di condivisioni di rete, connessioni RDP salvate e accessi applicativi. Le credenziali dei browser contengono il gestionale, il portale dei fornitori, la posta e spesso il pannello di amministrazione di qualcosa. Le schermate di tutti i monitor collegati fotografano ciò che l'utente stava facendo. In un'azienda con venti dipendenti, una sola macchina infetta consegna quasi sempre abbastanza per accedere a qualcosa di rilevante.

E c'è il seguito. Una macchina con l'EDR terminato e un driver dotato di funzioni di occultamento non è soltanto un caso di furto di credenziali: è un punto d'appoggio. Le capacità non attivate in questa campagna — nascondere file e chiavi di registro, iniettare DLL, intercettare processi, redirigere porte — descrivono con precisione l'arsenale che serve a chi rivende un accesso iniziale. È ragionevole considerare l'infezione da Rapuncel come un possibile primo stadio, non come l'incidente completo.

Va infine abbandonata una difesa che non regge più: quella basata sul riconoscimento del marchio. Le campagne che imitano 40 aziende diverse su una piattaforma affidabile come GitHub non attivano nessuno dei segnali che la formazione agli utenti insegna a cercare. Il dominio è legittimo, il certificato è valido, il risultato è in cima alla pagina di ricerca ed è il posto dove il software si scarica davvero. Per i soggetti che ricadono nel perimetro NIS2, l'articolo 21 del decreto legislativo 138/2024 include fra le misure minime la sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi informatici: il canale attraverso cui il software arriva sul singolo endpoint è parte di quella superficie, e oggi in molte organizzazioni quel canale è un motore di ricerca.

Cosa fare subito

  • Rimuovere i privilegi di amministratore locale agli utenti. È l'unica misura che blocca l'installazione del driver e quindi l'intera catena; tutto il resto è mitigazione parziale.
  • Attivare HVCI (integrità della memoria) e la Microsoft Vulnerable Driver Blocklist dove non lo sono già, con la consapevolezza che non coprono questo driver specifico ma alzano il costo per l'attaccante e bloccano le varianti note.
  • Applicare regole sui driver con WDAC o AppLocker: un elenco di consenso è strutturalmente più efficace di un elenco di blocco. Se non è praticabile sull'intero parco, farlo almeno sulle macchine che accedono a dati sensibili o a sistemi amministrativi.
  • Cercare gli indicatori: presenza del servizio NvFsFilter, del file nvfsflt64.sys in percorsi non riconducibili a un'installazione NVIDIA, di vsdbg.exe fuori dalle directory di Visual Studio, e traffico in uscita verso 2.26.126[.]50.
  • Configurare un'allerta sulla terminazione dell'agente EDR. In molte organizzazioni un agente che si spegne genera un ticket di manutenzione; qui è il primo e spesso unico segnale disponibile, e va trattato come incidente.
  • Rivedere il limite di dimensione degli archivi ispezionati dal gateway web e dall'antimalware: un ZIP da 148 MB che passa senza controlli è una scelta di configurazione, non una fatalità.
  • Spostare l'approvvigionamento del software su un canale interno — Intune Company Portal, SCCM, winget con sorgente aziendale — e bloccare o quantomeno declassare i risultati sponsorizzati nei motori di ricerca sulle postazioni aziendali.
  • In caso di sospetta infezione, considerare compromesse tutte le credenziali presenti sulla macchina: browser, Gestore credenziali, sessioni applicative. Reimpostarle da un dispositivo pulito e revocare lato server i token di sessione su Microsoft 365 e Google Workspace, perché cambiare la password non invalida una sessione già rubata.
  • Reinstallare la macchina da zero. Con a bordo un driver kernel dotato di funzioni di occultamento, la bonifica selettiva non è verificabile, e un risultato non verificabile non è un risultato.

Il fatto che un driver ostile possa arrivare firmato dalla catena di attestazione di Microsoft non è una novità assoluta, ma resta il punto in cui i modelli di difesa più diffusi si rompono. La firma dice chi ha prodotto un componente, non che cosa quel componente farà. Chi costruisce la propria postura di sicurezza sull'assunto che «se è firmato è affidabile» sta delegando la decisione più importante a un controllo che non è stato progettato per prenderla.