9月17日，密码管理厂商LastPass与威胁情报机构Delphos Labs联合披露了一起正在活跃的新型信息窃取木马攻击——Rapuncel。该攻击通过搜索引擎优化（SEO）投毒，在GitHub上伪造至少40个知名软件品牌的下载仓库，诱导用户下载捆绑恶意程序的压缩包。其最危险之处在于：木马在窃取凭证前，会先借助一款微软签名的内核驱动静默终止145款杀毒与EDR产品，使受害主机几乎"裸奔"。该活动自2026年8月13日以来持续活跃，截至披露日仍在运行中。
【一、伪装成"官方下载"的供应链陷阱】
攻击者将恶意压缩包体积膨胀至最高148MB以规避自动扫描，压缩包内伪装成软件安装程序的，实为微软Visual Studio CoreCLR调试器（vsdbg.exe），借其侧加载恶意DLL（vsdbg.dll）。驱动文件Alinubx.sys则伪装成NVIDIA组件（nvfsflt64.sys），并以NvFsFilter服务注册。整个投递链路经过多层跳转，攻击者可在不重建诱饵页面的前提下轮换真实载荷服务器。
【二、内核级"EDR杀手"绕过系统防护】
Alinubx.sys是一款带有微软硬件兼容性签名的合法驱动派生体（源自CcProtect/CnCrypt lineage），在VirusTotal 72款引擎扫描中零检出，且未进入微软漏洞驱动拦截名单。它通过调用内核函数ObOpenObjectByPointer并以KernelMode参数打开目标进程，绕过Windows受保护进程（PPL）机制——后者本是阻止管理员终止杀毒软件的关键防线。驱动内置145款杀软与EDR进程清单，逐一终止后，Rapuncel才开始窃取25款浏览器、30款加密货币钱包、Discord/Steam/Telegram会话及Windows凭据管理器等数据，并借助系统服务实现重启后持久化。
【三、暴露签名检测的结构性短板】
值得警惕的是，该驱动并非真正"未知"。其底层原型CcProtect.sys早已被LOLDrivers社区收录、并存在公开的kill code，攻击者仅更改文件名便以新哈希通过微软证明流程。这揭示出依赖哈希与签名的检测体系存在难以修补的结构性盲区，仅靠"杀毒软件装了就行"已无法应对内核级主动攻击。
Rapuncel事件再次证明：终端需要具备防篡改、行为检测与主动防御能力的EDR方案，而非仅依赖传统签名杀毒。昊群可为企业客户提供安全漏洞预警、补丁管理、终端安全加固（含EDR部署与策略调优）以及7×24安全托管服务，帮助客户建立从边界到终端的多层防护。如您希望评估现有终端防护能力，欢迎联系昊群，由安全团队为您出具加固建议。
