Uma campanha de malware que se passou por pelo menos 40 empresas diferentes no GitHub entregou o infostealer que o time de inteligência de ameaças do LastPass rastreia como Rapuncel junto com um driver de kernel assinado pela cadeia de compatibilidade de hardware da Microsoft, o Alinubx.sys, criado para desligar antivírus e EDR direto do modo kernel. Quem administra endpoints Windows precisa caçar agora o arquivo nvfsflt64.sys e o serviço NvFsFilter em toda a frota e tratar como comprometida cada credencial salva em navegador de máquinas atingidas.
O time de Threat Intelligence, Mitigation, and Escalation (TIME) do LastPass descobriu a operação em 13 de agosto de 2026, ao identificar uma organização falsa que imitava o LastPass Authenticator e redirecionava visitantes para infraestrutura controlada pelos atacantes. A análise conjunta com a Delphos Labs revelou uma operação de malware como serviço bem maior: o servidor albinofennel[.]com gerava páginas de isca dinâmicas a partir de parâmetros de URL e sustentava dezenas de marcas falsas em paralelo. Nenhum sistema, serviço ou cofre do LastPass foi invadido; o que a fraude explorava era a confiança na marca, o mesmo mecanismo psicológico dos golpes de falsa autoridade que já analisamos por aqui.
Como o golpe no GitHub funciona
A porta de entrada é uma busca comum: organizações fraudulentas otimizadas para SEO aparecem em posições altas quando alguém procura o download de um software conhecido. O clique leva a um portal hospedado no GitHub Pages, com interface de download convincente, contadores de antivírus fabricados e animações de “Validating session” e “Generating secure token” que simulam uma verificação que nunca acontece. Um servidor frontal à Cloudflare completa a cadeia e entrega o arquivo ZIP final.
Dentro do arquivo, a campanha usa DLL side-loading: um binário assinado legítimo, o vsdbg.exe, carrega a biblioteca maliciosa e dispara dois payloads independentes. O primeiro é o infostealer Rapuncel. O segundo é o componente que mais preocupa o defensor: um driver de kernel cuja função é remover a proteção de endpoint antes que a coleta comece. A Delphos avalia com alta confiança que o loader saiu do pacote de crypter Cruciferra PUROSANGUE, ou de um derivado próximo, antes documentado pela Proofpoint em 2025, e aponta sobreposição comportual com a campanha BoryptGrab, descrita pela Trend Micro em março de 2026, sem que os binários sejam idênticos.
O que o Rapuncel rouba
O infostealer mira 19 ou mais navegadores, 34 ou mais carteiras de criptomoedas, Discord, Steam, Telegram e o Windows Credential Manager. Para vencer a criptografia app-bound do Chrome e do Edge, o malware embarca um helper que aciona o Elevation Service do próprio navegador e decifra as chaves protegidas — o mesmo serviço criado para impedir exatamente esse roubo. A coleta é oportunista: qualquer máquina que execute o instalador falso entra no alvo, sem seletividade de vítima.
Tudo o que é coletado é comprimido em um único ZIP e enviado ao servidor 2.26.126.50 numa conexão bruta formatada para se misturar ao tráfego web comum. Se o upload falha, o malware tenta três vezes, com pausas de dois segundos entre as tentativas. Esse endereço é o C2 dedicado à exfiltração de credenciais nesta configuração; o loader e o driver não conversam com infraestrutura externa, o que dificulta a correlação na telemetria de rede.
Por que o EDR não resistiu
O Alinubx.sys é, na prática, uma cópia renomeada do CcProtect.sys, driver de proteção do produto chinês CnCrypt, da Henan Dafeng Software, já catalogado no LOLDrivers como matador de processos BYOVD com prova de conceito pública. Os recursos de versão do arquivo mantêm o produto e o fabricante originais; só a identidade visível ao defensor mudou. Essa troca isolada de nome bastou para escapar de detecções presas ao nome conhecido, porque renomear muda os bytes e, com eles, o hash — e blocklists por hash simplesmente não pegam o arquivo novo.
O mecanismo é direto: o driver expõe uma interface IOCTL, recebe uma lista de identificadores de processo e termina cada alvo com ZwTerminateProcess, depois de abrir o processo em KernelMode. Isso ignora a checagem de acesso do modo usuário e derruba até processos protegidos por Protected Process Light, sem tocar nos bits de proteção do EPROCESS. O carregador alimenta o driver com uma lista fixa embutida no código, e foi com ela que a campanha terminava 145 processos de antivírus e EDR a partir do modo kernel.
No disco, o driver aparece como nvfsflt64.sys, gravado em C:\Windows\System32\drivers\, com um serviço chamado NvFsFilter que se apresenta como filtro de sistema de arquivos da NVIDIA. A assinatura vem da cadeia Windows Hardware Compatibility Publisher da Microsoft, com carimbo de 2023 — anos antes da campanha. Na triagem automatizada, o arquivo registrou 0 detecções em 72 motores do VirusTotal, resultado que não mudava desde 2025. A Microsoft, acionada pelo portal de pesquisa em agosto de 2026, registrou que o comportamento não atende à definição de vulnerabilidade de segurança, porque o driver não é componente da empresa. Na checagem dos analistas, o Alinubx.sys também não constava da blocklist de drivers vulneráveis da Microsoft, que funciona por hash conhecido e não alcança arquivos renomeados ou recompilados.
Sinais de comprometimento
Hashes e endereços de servidor giram rápido: durante a janela de análise dos pesquisadores, um servidor de payload saiu do DNS enquanto outros dois seguiram no ar. Os indicadores duráveis são comportamentais. A tabela reúne o que vale procurar na telemetria de endpoint e de rede:
| Indicador | O que procurar |
|---|---|
| Arquivo de driver | Gravação em C:\Windows\System32\drivers\ com o nome nvfsflt64.sys e apresentação de componente NVIDIA |
| Serviço suspeito | Criação do serviço NvFsFilter, descrito como filtro de sistema de arquivos da NVIDIA |
| Processo pai anômalo | vsdbg.exe gerando processos filhos fora do contexto da Microsoft |
| Binário adulterado | PE com seção.reloc raw muito maior que o tamanho declarado no diretório de realocação |
| Recursos de versão | Drivers atestados com identidade de produto CnCrypt ou fabricante Henan Dafeng Software |
| Tráfego de saída | Upload direto para 2.26.126.50 formatado como tráfego web comum |
Prioridades de resposta
P1 — hosts confirmados. Qualquer máquina que executou o payload precisa de investigação forense em nível de kernel: o Alinubx.sys desativa justamente as ferramentas de modo usuário que fariam a limpeza. Considere expostas todas as credenciais de navegador, arquivos de carteiras, sessões de Discord, Steam e Telegram e o conteúdo do Windows Credential Manager. Troque as credenciais a partir de um dispositivo separado e confirmadamente limpo, nunca da própria máquina afetada.
P1 — contenção de rede. Bloqueie o endereço de exfiltração e os domínios de isca conhecidos, e monitore os seis padrões da tabela em toda a frota, não apenas nos hosts com alerta anterior. Casos confirmados merecem revisão do histórico de download do usuário: a cadeia de instalação deixa registros no navegador e no sistema de arquivos.
P2 — redução de superfície. Restrinja de onde usuários podem instalar software, investigue por que páginas de organização fraudulentas posicionam tão bem nos resultados de busca de marca e trate a cadeia de download como código não confiável até validação automatizada — a mesma lógica de barreira que aplicamos ao discutir o OSV-Scanner no pipeline. E retenha o princípio geral do caso: assinatura da Microsoft, score limpo no VirusTotal e presença em blocklist não são garantias, são três suposições de confiança que esta campanha quebrou uma a uma.