В августе 2026 года в поисковой выдаче появилась страница на GitHub, оформленная как официальный канал LastPass. Пользователи, искавшие установщик приложения-аутентификатора, видели знакомые логотипы, описание продукта и крупную кнопку загрузки. За ней скрывалась многоступенчатая схема доставки вредоносного ПО, рассчитанная на массовую аудиторию: пострадать могли как обычные люди, так и сотрудники компаний, которые ищут программы по названию бренда. Первое сообщение о подделке относится к 13 августа. Дальнейший разбор показал, что поддельная организация - лишь один эпизод более крупной операции, в которой использовались приманки под именами ещё нескольких десятков компаний.
Описание
Кнопка вела на внешне убедительный портал загрузки со значками доверия и анимацией проверки сессии. Никакой проверки при этом не происходило. Параллельно жертву незаметно проводили через несколько промежуточных страниц, которые ничего не показывали и служили только для запутывания следов. Отдельный сервер динамически подсказывал цепочке, куда направлять посетителя. Поэтому адрес хранилища с полезной нагрузкой можно было менять в любой момент, не трогая сами страницы-приманки. Конечные узлы на момент публикации отчёта отключили, однако они оставались зарегистрированными и готовыми к быстрому возвращению в строй.
Совместное исследование LastPass и Delphos показало, что жертве автоматически скачивался архив объёмом от 127 до 148 мегабайт. Большая часть содержимого - бесполезные данные, добавленные намеренно: автоматические системы проверки часто пропускают файлы такого размера, и вредоносная начинка проходит мимо них. Среди правдоподобно названных компонентов спрятаны несколько небольших файлов, которые и выполняют основную работу. Запускаемый "установщик" на деле оказался служебной утилитой Microsoft для отладки, переименованной и снабжённой сторонним дополнением. Windows по умолчанию подгружает такое дополнение из той же папки, чем и воспользовались злоумышленники.
Затем в дело вступает драйвер - программа, работающая на самом глубоком уровне операционной системы, ниже уровня антивирусов. Он несёт в себе список из 145 наименований защитных продуктов и завершает работу каждого, что обнаружит на машине. Команда приходит снизу, из ядра, поэтому средства защиты не успевают её заметить или заблокировать. Маскировка усиливает эффект: драйвер представляется системным компонентом NVIDIA. Подпись он получил через программу совместимости оборудования Microsoft, а на момент публикации отчёта файл не значился в списке заблокированных драйверов. Подпись подтверждает, что драйвер прошёл проверку, но не говорит о его безопасности.
Когда защита отключена, начинается сбор данных. Похититель читает сохранённые пароли более чем из 25 браузеров, файлы криптовалютных кошельков из десятков приложений, сессии Discord, Steam и Telegram, а также содержимое хранилища учётных данных Windows. Отдельно отбираются документы, в названии которых есть слова вроде "пароль", "кошелёк" или "восстановление". Современные браузеры защищают ключи шифрования привязкой к приложению, поэтому вредоносная программа внедряется внутрь процесса браузера и обращается к его же службе расшифровки. Просьба выглядит как исходящая от самого браузера, и защита не срабатывает. Всё собранное программа упаковывает в архив и отправляет на сервер злоумышленников под видом обычного веб-трафика.
Программа закрепляется в системе как служба, которая запускается при каждой загрузке компьютера. Затем цикл повторяется: проверка защитных продуктов, отключение тех, что успели перезапуститься, и новый сбор данных. Удалить драйвер штатными средствами Windows нельзя, пока система работает. Требуется загрузка в безопасном режиме или внешний инструмент восстановления. Иначе машина остаётся под контролем атакующих неопределённо долго.
Происхождение инструментов указывает на криптор - сервис, который за плату упаковывает вредоносный код так, чтобы он не попадал под сигнатуры. Аналитики Delphos связывают загрузчик с набором PUROSANGUE, ранее описанным Proofpoint и eSentire; Recorded Future упоминает тот же тариф в обзоре цен. Похожие приёмы, имена служебных файлов и способ обхода защиты браузеров прослеживаются и в кампании BoryptGrab, которую Trend Micro задокументировала в марте 2026 года. Совпадения затрагивают инструменты и поведение, но не сами файлы. Поэтому речь идёт о родственной сборке, а не о полном совпадении с известными образцами.
Microsoft получила обращение о драйвере 19 августа 2026 года. Компания ответила, что поведение не подпадает под её определение уязвимости, поскольку драйвер ей не принадлежит, и перенаправила заявку в канал, где рассматривают включение в список блокировки. В этот список драйвер так и не попал. Отдельно подчёркивается: ни одна система, служба или клиентское хранилище LastPass не пострадали. Приманка распространялась вне официальных каналов компании, а сама программа для аутентификации доступна только на сайте разработчика и в официальных магазинах приложений.
Тем, кто запустил такой установщик, советуют считать скомпрометированными все пароли, сохранённые в браузере, файлы кошельков и сессии мессенджеров. Менять их нужно с другого, заведомо чистого устройства, а в хранилище паролей стоит проверить журнал входов на неожиданные события. Схема опиралась на четыре привычных допущения: что знакомый бренд на GitHub означает официальный канал, что подпись Microsoft гарантирует безопасность драйвера, что чистый результат в публичном сервисе проверки файлов говорит о безопасности самого файла и что список блокировки охватывает все опасные драйверы. Каждое из них оказалось неверным.
Индикаторы компрометации
