Rapuncel : ce malware Windows neutralise 145 processus antivirus avant de voler des identifiants

Un nouveau logiciel malveillant baptisé Rapuncel montre jusqu’où les cybercriminels peuvent aller pour désarmer un PC Windows avant même de commencer à voler ses données.

Selon une analyse conjointe publiée par les équipes de sécurité de LastPass et Delphos Labs, la campagne s’appuie sur un pilote fonctionnant au niveau du noyau de Windows et contenant une liste de 145 processus antivirus et EDR à terminer. Une fois les défenses affaiblies, l’infostealer tente de récupérer mots de passe, sessions, informations de portefeuilles crypto et autres données sensibles.

Le point le plus préoccupant n’est cependant pas simplement le volume de données visées : le pilote utilisé dans l’attaque disposait d’une signature reconnue par Windows, illustrant une nouvelle fois les limites d’une confiance reposant uniquement sur la signature d’un fichier.

Points clés:

• Rapuncel est distribué via de faux dépôts GitHub imitant des logiciels connus.
• Un pilote noyau associé à l’attaque cible 145 processus antivirus et EDR.
• Le malware cherche notamment des identifiants de navigateurs, des données de portefeuilles crypto et des sessions d’applications.
• LastPass affirme que ses propres systèmes et coffres clients n’ont pas été compromis.
• L’affaire souligne les risques liés aux pilotes Windows signés mais détournés ou abusés.

De faux téléchargements GitHub pour atteindre les victimes

Fait : LastPass et Delphos Labs indiquent que l’infrastructure étudiée imitait au moins 40 entreprises et utilisait notamment de faux dépôts GitHub destinés à apparaître comme des pages de téléchargement légitimes.

Les victimes pouvaient arriver sur ces pages en recherchant un logiciel connu. LastPass Authenticator faisait partie des produits imités, mais les chercheurs décrivent une campagne beaucoup plus large plutôt qu’une attaque exclusivement dirigée contre LastPass.

Une fois le faux téléchargement lancé, la chaîne d’infection utilisait plusieurs techniques destinées à rendre l’exécution moins suspecte. BleepingComputer rapporte notamment l’utilisation d’une copie renommée du débogueur Microsoft Visual Studio vsdbg.exe, associée à une bibliothèque DLL malveillante.

Cette méthode est appelée DLL sideloading. En termes simples, les attaquants placent une bibliothèque malveillante à un endroit où un programme légitime va la charger automatiquement.

Pourquoi cela compte : reconnaître le nom du programme ou voir un exécutable Microsoft dans une chaîne d’installation ne suffit donc pas à garantir que l’ensemble du téléchargement est sûr.

Un pilote noyau capable de désactiver les défenses

La partie la plus inhabituelle de l’opération concerne Alinubx.sys, un pilote chargé au niveau du noyau Windows.

Le noyau possède des privilèges beaucoup plus élevés que les applications classiques. Un code exécuté à ce niveau peut donc effectuer des opérations qu’un programme utilisateur ordinaire ne pourrait pas accomplir.

Selon l’analyse de Delphos Labs, le pilote contient 145 noms de processus liés à des antivirus et solutions EDR et tente de terminer ceux qu’il trouve actifs. Les EDR — Endpoint Detection and Response — sont les outils utilisés notamment en entreprise pour détecter les comportements suspects sur les ordinateurs.

Cette approche s’apparente à la famille de techniques souvent regroupées sous le terme BYOVD, pour Bring Your Own Vulnerable Driver. Les attaquants cherchent à exploiter ou détourner un pilote disposant des privilèges nécessaires pour intervenir très profondément dans Windows.

Pourquoi cela compte : si l’outil chargé de détecter le malware est neutralisé avant l’exécution du voleur d’informations, une partie importante de la protection classique disparaît.

Une signature Microsoft n’est pas une garantie absolue de sécurité

Le pilote observé disposait d’une signature appartenant à la chaîne de confiance Windows Hardware Compatibility Publisher, selon les chercheurs. Il n’était également pas détecté comme malveillant par les contrôles étudiés lors de leur analyse.

Il faut toutefois distinguer signature numérique et innocuité du code.

Microsoft explique dans sa propre documentation qu’une signature d’attestation signifie que Windows peut faire confiance au pilote dans le cadre du mécanisme de signature. Elle ne signifie pas que le pilote est « Windows Certified », et ce processus ne remplace pas une analyse comportementale complète de ce que le code peut faire.

Microsoft maintient également une liste de blocage des pilotes vulnérables pour empêcher certains composants connus d’être exploités. L’entreprise précise elle-même que cette liste ne peut pas garantir le blocage de tous les pilotes présentant des faiblesses.

C’est précisément ce décalage que cette campagne met en lumière : un fichier peut présenter plusieurs signaux de confiance techniques tout en étant utilisé dans une chaîne d’attaque.

Ce que Rapuncel cherche à voler

Une fois les protections affaiblies, Rapuncel se comporte comme un infostealer, c’est-à-dire un malware conçu avant tout pour collecter des informations revendables ou réutilisables.

Le rapport LastPass/Delphos décrit notamment des capacités visant au moins 19 navigateurs et 34 portefeuilles de cryptomonnaies, ainsi que Discord, Steam, Telegram et le gestionnaire d’identifiants Windows. Le malware peut également récupérer des cookies ou sessions et effectuer des captures d’écran.

Ces données présentent une valeur particulière car un cookie de session valide peut parfois permettre à un attaquant d’accéder à un compte sans avoir immédiatement besoin de connaître son mot de passe.

Les portefeuilles crypto constituent également une cible privilégiée : une phrase de récupération ou une clé privée volée peut avoir des conséquences financières irréversibles.

Pour suivre d’autres analyses sur les menaces Windows, les malwares et la sécurité numérique, vous pouvez également consulter les actualités cybersécurité de Tech Explorateur.

LastPass n’a pas été compromis, mais les utilisateurs doivent rester prudents

LastPass insiste sur un élément important : ses systèmes, ses services et les coffres-forts de ses clients n’ont pas été compromis dans cette opération. Le nom et l’identité visuelle de l’entreprise ont été utilisés comme appât à l’extérieur de son infrastructure.

Cette distinction évite de confondre une compromission d’un fournisseur avec une simple usurpation de marque.

Les chercheurs évoquent par ailleurs une possible proximité avec une autre campagne appelée BoryptGrab. Ils précisent toutefois que les éléments disponibles ne permettent pas d’affirmer qu’il s’agit des mêmes opérateurs. Il s’agit donc d’une hypothèse de recherche, pas d’un fait établi.

Pour les particuliers comme pour les entreprises, la principale leçon est plus immédiate : un logiciel doit idéalement être téléchargé depuis le site officiel de son éditeur ou une boutique officiellement référencée, et non depuis un dépôt découvert uniquement grâce à un résultat de moteur de recherche.

Les administrateurs Windows ont également intérêt à maintenir leurs systèmes à jour et à vérifier les protections liées aux pilotes vulnérables. Microsoft recommande notamment l’utilisation de sa liste de blocage et, dans les environnements compatibles, de fonctions comme Memory Integrity/HVCI.

Rapuncel n’introduit pas un concept entièrement nouveau. En revanche, cette campagne combine plusieurs techniques connues — usurpation de marque, DLL sideloading, pilotes privilégiés et vol d’identifiants — d’une manière particulièrement efficace.

Et c’est précisément ce qui la rend intéressante pour les défenseurs : aujourd’hui, vérifier qu’un fichier est signé ou qu’un antivirus ne déclenche aucune alerte ne suffit plus à établir qu’un téléchargement est digne de confiance.

FAQ:

Qu’est-ce que Rapuncel ?

Rapuncel est un infostealer Windows identifié par LastPass et Delphos Labs. Il cherche à voler notamment des identifiants de navigateurs, sessions et informations liées à des portefeuilles crypto.

Rapuncel peut-il désactiver les antivirus ?

La campagne utilise un pilote noyau contenant une liste de 145 processus antivirus et EDR qu’il tente de terminer avant l’exécution du voleur d’informations.

LastPass a-t-il été piraté par Rapuncel ?

Non selon LastPass. L’entreprise affirme que ses systèmes, services et coffres clients n’ont pas été compromis ; sa marque a été utilisée comme leurre dans de faux téléchargements.

Sources Officielles et Fiables:

Rapport technique LastPass et Delphos Labs — campagne Rapuncel et analyse du pilote
One Kit, Forty Companies: How a Malware-as-a-Service Platform Used GitHub as a Distribution Network

Microsoft — fonctionnement et limites de la liste de blocage des pilotes vulnérables
Microsoft Recommended Driver Block Rules

Microsoft — fonctionnement de la signature des pilotes Windows
Driver Signing Options for Windows

BleepingComputer — analyse indépendante de la campagne Rapuncel
Fake LastPass Authenticator GitHub repos push new Rapuncel infostealer