Rapuncel duerme tus defensas
¿Sabías que un instalador falso puede silenciar todo tu antivirus de golpe?
Eso es exactamente lo que hace Rapuncel, descubierto en agosto.
Un grupo de atacantes suplantó la identidad de al menos 40 organizaciones para distribuir malware capaz de desactivar 145 herramientas de seguridad antes de robar tus contraseñas.
Y lo hicieron con una trampa aparentemente inofensiva: un instalador falso de LastPass Authenticator que aparecía entre los primeros resultados de búsqueda en GitHub.
La trampa empezaba con una simple búsqueda en internet.
Los atacantes optimizaron su página de GitHub con SEO para aparecer entre los primeros resultados al buscar LastPass Authenticator. Había incluso una versión falsa para macOS. Desde allí, la víctima era redirigida a través de una cadena oculta de páginas de GitHub y un servidor protegido por Cloudflare, cuyo destino podía cambiarse dinámicamente. El servidor seguía activo el 10 de septiembre.
Lo que se descargaba no era lo que parecía.
El archivo contenía un instalador falso que cargaba una DLL maliciosa con el código del atacante. Rapuncel obtenía privilegios máximos usando funciones propias de Windows e instalaba un driver de kernel camuflado como componente gráfico de NVIDIA, diseñado para terminar 145 productos antivirus y de seguridad de endpoint. El driver también contenía código para ocultarse e inyectarse en procesos activos, aunque esa función no llegó a activarse.
Con las defensas caídas, el robo comenzaba de forma implacable y automática.
Rapuncel buscaba contraseñas en 25 navegadores, archivos de 30 wallets de criptomonedas, tokens de Discord, Steam y Telegram, y credenciales del almacén de Windows. Además, capturaba pantallas de cada monitor y un perfil detallado del sistema. El malware arrancaba con cada reinicio y repetía el ciclo sin parar.
Sin el driver eliminado, nada queda limpio.
Según LastPass, la máquina puede permanecer completamente bajo el control del atacante hasta que el driver de kernel sea eliminado físicamente. No basta con reiniciar ni con restaurar el antivirus: el malware lo detecta, lo mata de nuevo y vuelve a ejecutar el robo.
La campaña revela una red criminal organizada.
La investigación, realizada con Delphos, reveló que la DLL maliciosa estaba probablemente generada con PUROSANGUE, un paquete del servicio crypter Cruciferra, documentado recientemente por Proofpoint. Cruciferra ya había sido utilizado para crear DLLs con código para matar soluciones EDR y antivirus. Esto sitúa a Rapuncel dentro de un ecosistema criminal organizado, con herramientas reutilizables y cadenas de suministro de malware bien establecidas entre distintos actores.
Rapuncel y BoryptGrab comparten demasiados rasgos para ser coincidencia.
Delphos comparó el payload de Rapuncel con muestras de BoryptGrab documentadas por Trend Micro. Aunque no son idénticos byte a byte, el solapamiento conductual y de artefactos es muy fuerte. La conclusión es que Rapuncel es una variante o build hermana de BoryptGrab, distribuido en unas 100 repositorios de GitHub a principios de este año.
Los atacantes suplantaron al menos 40 marcas reales para ganar credibilidad.
No se trata de un ataque oportunista aislado: la campaña lleva activa varios meses, con mantenimiento activo confirmado entre agosto y septiembre. Los sistemas internos de LastPass no fueron comprometidos, pero su marca fue usada como anzuelo principal para atraer víctimas.
La infraestructura seguía viva y operativa.
El servidor central seguía activo el 10 de septiembre, sirviendo un redirect en JavaScript. LastPass confirmó que su contenido había cambiado entre el 27 de agosto y esa fecha, demostrando mantenimiento activo. No era un ataque de disparo único, sino una operación con gestión continua y adaptación en tiempo real.
Una operación viva, no un ataque del pasado.
Mientras lees esto, la infraestructura podría seguir activa bajo otra forma. ¿Sabes exactamente qué instalaste la última vez que buscaste una app en GitHub?
Protégete ahora
- ✓Descarga aplicaciones solo desde las webs oficiales de cada fabricante.
- ✓Verifica la URL y el repositorio antes de ejecutar cualquier instalador.
- ✓Revisa los servicios de Windows activos si sospechas de infección.
¿Comprobarías hoy mismo el origen de cada app que tienes instalada?
La seguridad no se improvisa, se audita. En Nacata Security detectamos vulnerabilidades y protegemos tu empresa, porque un solo fallo puede costarte todo lo que has construido.
Artículos relacionados
CVE-2026-8863 rompe Secure Boot
KillSec desmantelado por Europol
ShinyHunters asalta Cl0p
Impresoras repartieron notas de rescate
eMAPT conquista lo móvil
Nacata Security, contáctanos cuando quieras
Somos Nacata Security, conócenos
web: nacata.io
email: info@nacata.io
Teléfono: 919930793
LinkedIn: Nacata Security
El ecosistema de los actores maliciosos y la inteligencia que se genera sobre ellos: grupos APT y su atribución, bandas de ransomware, operaciones policiales y detenciones, mercados de la dark web, informes de threat intelligence y el trasfondo geopolítico del cibercrimen.
RATING
9.1
¿Quiénes somos?
En Nacata Security somos una empresa de ciberseguridad ofensiva especializada en auditorías y test de intrusión.
Detectamos, evaluamos y ayudamos a mitigar las vulnerabilidades de tus sistemas, redes y aplicaciones antes de que un atacante real las explote, ofreciendo una defensa 360º adaptada a cada cliente.
Estamos encantados de contactar contigo para lo que quieras.