Actualidad ISAC

 
Alerta

Los piratas informáticos utilizan un controlador firmado por Microsoft para desactivar 145 herramientas de seguridad y robar contraseñas

Resumen Informativo

🏷 Tags:MALWAREBRECHA DE DATOSCREDENCIALESRCEIOC
Nivel de riesgo estimado: Alto

De acuerdo a la publicación titulada Los piratas informáticos utilizan un controlador firmado por Microsoft para desactivar 145 herramientas de seguridad y robar contraseñas, difundida en fecha 21/09/2026 11:34, por el medio Cybersecuritynews (Autor: Abinaya):

Los investigadores descubrieron una campaña de malware que utilizaba un controlador de kernel de Windows certificado por Microsoft para desactivar 145 procesos antivirus y de seguridad de terminales, y luego robaba contraseñas, datos de billeteras de criptomonedas, sesiones de navegador y otra información confidencial. El equipo de inteligencia, mitigación y escalamiento de amenazas de LastPass, en colaboración con Delphos Labs, descubrió la operación después de que los atacantes se hicieran pasar por LastPass Authenticator a través de páginas fraudulentas de GitHub.

En cambio, los atacantes abusaron del nombre LastPass para hacer que páginas de descarga falsas parecieran legítimas en los resultados de búsqueda. Las víctimas que busquen “descarga de LastPass Authenticator” podrían encontrar una organización GitHub falsa diseñada para parecerse a la página oficial de un producto. Aparece una página falsa de GitHub de LastPass Authenticator en los resultados de búsqueda (fuente: lastpass) La payload final llegó como un archivo ZIP grande, a veces de más de 100 MB. El sitio de páginas de GitHub muestra una interfaz de descarga falsa (fuente: lastpass) Los investigadores vincularon el controlador a la línea de controladores CnCrypt o CcProtect asociada con el software Henan Dafeng.

Los investigadores identificaron múltiples indicadores de compromiso relacionados con la campaña maliciosa Rapuncel, entre ellos el controlador de kernel malicioso Alinubx.sys, identificado mediante el hash SHA-256 611b3ba687b7f46319a19609605ddfe5225e6d85277d8e923eea3fdb6f7b5b61, así como la carga útil de robo de credenciales con hash SHA-256 aefbc6e04320e9a0e80f2323f8a897c4fdb222a37b0b87d76e850109decbfadd. La infraestructura utilizada por los atacantes incluye los dominios binofennel[.]com y hanselarinmusky[.]com, empleados para alojar cargas maliciosas, además de un repositorio falso en github[.]com/LastPass-Authenticator y el sitio fraudulento lastpass-authenticator[.]github[.]io, diseñado para suplantar herramientas legítimas de LastPass. También se identificó la dirección IP 2.26.126[.]50, utilizada como servidor de exfiltración de datos.
🛡️Indicadores de Compromiso (IoC)Extraídos automáticamente — verificar antes de usar
Dominios
payloaddomainalbinofennel[.]compriserverdomainhanselarinmusky[.]comsecservergithubgithub[.]compageslastpass-authenticator[.]githubrapunceldominiobinofennel[.]comserprincipaldominiohanselarinmusky[.]comcarservidorgithubgithub[.]comgithublastpass-authenticator[.]github

⚠️ Dominios y URLs defangeados ([.] / hxxp) para prevenir activación accidental de enlaces maliciosos.

📌 Cita formal

Fuente: Cybersecuritynews
Título original: Los piratas informáticos utilizan un controlador firmado por Microsoft para desactivar 145 herramientas de seguridad y robar contraseñas
Publicado: 21/09/2026 11:34
Enlace: https://cybersecuritynews.com/signed-driver-disable-security-tools-and-passwords
Consultado: 21/09/2026

Consultar publicación original ↗

#brecha de datos #credenciales #IoC #malware #RCE
Anterior Siguiente