Infostealer Rapuncel: Hacker tarnen neue Malware als GitHub-Repos

Aktuell nutzt eine Malware-Kampagne gefälschte GitHub-Repositorys, um den neuen Infostealer Rapuncel zu verbreiten. Kriminelle tarnen sich als bekannte Softwaremarken und hebeln mit einem signierten Treiber diverse Sicherheitsprogramme aus.

Nadine Dressler, 20.09.2026 12:10 Uhr

Sicherheit, Sicherheitslücke, Leak, Hacker, Security, Malware, Angriff, Hack, Bug, Kriminalität, Trojaner, Virus, Schadsoftware, Cybersecurity, Exploit, Cybercrime, Hacking, Ransomware, Hackerangriff, Phishing, Internetkriminalität, Erpressung, Spam, Warnung, Darknet, Hacker Angriff, Ddos, Hacker Angriffe, Hacken, Attack, Ransom, Hacks, Crime, Error, Russische Hacker, Viren, Gehackt, Schädling, China Hacker, Adware, Security Report, Malware Warnung, Security Bulletin, Promi-Hacker, Android Malware, Phisher, Secure, Breaking

Gefälschte Repositories auf GitHub

Rapuncel wird über gefälschte, suchmaschinenoptimierte GitHub-Repositorys "beworben". Die Seiten geben sich als Download-Angebote für bekannte Software aus, darunter der bekannte LastPass-Authenticator und mindestens 39 weitere bekannte Anwendungen. Bei entsprechenden Suchanfragen erscheinen die manipulierten Seiten dann unter Umständen weit oben in den Ergebnissen.

Nutzer werden dann über mehrere Weiterleitungen auf Server der Angreifer geführt. Dort wird eine ZIP-Datei heruntergeladen, die künstlich auf bis zu 148 Megabyte vergrößert wurde. Damit wollen die Täter automatisierte Sicherheitsprüfungen umgehen, weil manche Scanner große Archive aus Leistungsgründen nicht analysieren.

Signierter Treiber hebelt Schutz aus

Wie LastPass berichtet, entpackt das Archiv ein umbenanntes Microsoft-Werkzeug. Dieses lädt per DLL-Sideloading eine schädliche Programmbibliothek.

Die Malware verschafft sich Administratorrechte und installiert einen Kernel-Treiber, der als Nvidia-Komponente getarnt ist. Der Treiber trägt eine gültige Signatur des Microsoft-Hardware-Compatibility-Programms.

Auf Kernel-Ebene beendet der Treiber gezielt 145 Sicherheitsprogramme, darunter Systeme zur Endpoint Detection and Response. Anschließend startet Rapuncel den Datendiebstahl. Die Schadsoftware sammelt automatisiert Zugangsdaten aus Webbrowsern und Krypto-Wallets.

Zudem stiehlt Rapuncel Sitzungsdaten von Diensten wie Discord, Steam und Telegram. Um Googles App-gebundene Verschlüsselung in modernen Browsern zu umgehen, schleust die Software eigenen Code in Browser-Prozesse ein. Die Daten werden komprimiert an einen externen Server übertragen. Zudem richtet sich die Schadsoftware dauerhaft im System ein. Infografik Computerkriminalität: Wo Cyberattacken ihren Ursprung haben

Computerkriminalität: Wo Cyberattacken ihren Ursprung haben

Ursprung und technische Details

Nach Angaben von Sicherheitsforschern ist Rapuncel vermutlich eine Variante der BoryptGrab-Kampagne. Der Loader wurde mit dem Cruciferra-PUROSANGUE-Crypter erstellt. Beim eingesetzten Treiber handelt es sich ursprünglich um eine umbenannte Komponente einer chinesischen Software zur Festplattenverschlüsselung, die die Täter missbrauchen.

Betroffene müssen zur Bereinigung den abgesicherten Modus oder externe Wiederherstellungswerkzeuge nutzen. Der bösartige Treiber lässt sich im laufenden Windows-Betrieb nicht entfernen. Für die Täter hat die komplexe Infrastruktur den Nachteil, dass sie nach der Entdeckung durch Sicherheitsforscher schnell blockiert werden kann.

Habt ihr schon einmal versehentlich auf eine gefälschte Download-Seite geklickt? Teilt eure Erfahrungen zu solchen Täuschungen gerne mit uns in den Kommentaren!

Was ist die Rapuncel-Malware?

Rapuncel ist ein neu entdeckter Infostealer, der es auf Zugangsdaten und sensible Informationen abgesehen hat. Die Malware verbreitet sich über gefälschte Software-Downloads und richtet sich gezielt an Nutzer, die nach legitimen IT-Werkzeugen suchen.

Das Besondere an dieser Bedrohung ist ihre technische Raffinesse. Sie nutzt einen signierten Kernel-Treiber, um sich tief im Windows-System einzunisten und Sicherheitssoftware auszuhebeln. Für IT-Profis bedeutet dies, dass herkömmliche Schutzmaßnahmen oft blind für diese Gefahr sind.

Wie infiziert man sich im Alltag?

Der Angriff beginnt meist mit einer alltäglichen Google-Suche nach Software. Die Angreifer nutzen Suchmaschinenoptimierung (SEO), um gefälschte GitHub-Repositories weit oben in den Ergebnissen zu platzieren. Diese Seiten wirken durch gestohlene Logos und gefälschte Zertifikate sehr vertrauenswürdig.

Klickt man auf den Download, wird man über mehrere unsichtbare Stationen umgeleitet. Am Ende landet eine stark aufgeblähte ZIP-Datei von bis zu 148 Megabyte auf dem Rechner. Diese künstliche Größe soll automatisierte Sicherheits-Scans umgehen. Darin versteckt sich die eigentliche Schadsoftware.

Warum versagen Virenscanner hier?

Die Malware installiert einen Kernel-Treiber, der sich als harmlose Nvidia-Komponente tarnt. Dieser Treiber besitzt eine offizielle Signatur aus dem Microsoft Hardware Compatibility Program. Da Windows dieser Signatur vertraut, wird die Installation ohne Warnung durchgewunken.

Einmal aktiv, beendet der Treiber aus dem Kernel-Modus heraus gezielt 145 bekannte Antiviren- und EDR-Programme. Da der Befehl von der tiefsten Systemebene kommt, sind die Schutzprogramme wehrlos. Auch auf Plattformen wie VirusTotal blieb die Datei lange Zeit komplett unentdeckt.

Welche Daten stiehlt der Trojaner?

Sobald die Schutzsoftware deaktiviert ist, sammelt Rapuncel systematisch sensible Daten. Dazu gehören Passwörter aus über 25 Webbrowsern, Inhalte aus dem Windows Credential Manager sowie Sitzungsdaten von Messenger-Diensten wie Telegram oder Discord.

Auch Krypto-Währungen sind ein Ziel: Die Malware durchsucht das System nach über 30 verschiedenen Krypto-Wallets. Zudem werden Dokumente exfiltriert, die Schlagwörter wie password, seed oder recovery im Namen tragen. Abschließend erstellt das Programm Screenshots aller Monitore.

Sind Chrome-Passwörter noch sicher?

Google hat kürzlich die sogenannte App-Bound Encryption eingeführt, um genau solche Diebstähle in Chrome und Edge zu verhindern. Rapuncel nutzt jedoch eine fortschrittliche Methode, um diesen Schutzmechanismus zu umgehen, was für IT-Administratoren besonders besorgniserregend ist.

Die Malware injiziert dafür einen speziellen Code direkt in den Browser-Prozess. Dieser Code gibt sich als der Browser selbst aus und fordert die Entschlüsselung der Passwörter an. Da die Anfrage scheinbar aus einer legitimen Quelle stammt, wird der Schutzmechanismus erfolgreich ausgehebelt.

Ist nur LastPass davon betroffen?

Nein, LastPass ist hier nur eines von vielen Opfern eines Identitätsmissbrauchs. Die Systeme oder Kundentresore des Passwort-Managers wurden nicht kompromittiert. Die Angreifer nutzen lediglich den bekannten Markennamen, um Nutzer auf ihre gefälschten Download-Seiten zu locken.

Laut den Sicherheitsforschern sollen mindestens 39 weitere namhafte Unternehmen von dieser Masche betroffen sein. Die Infrastruktur der Täter ist so aufgebaut, dass sie die gefälschten Marken und Download-Seiten jederzeit dynamisch austauschen können, um neue Zielgruppen anzugreifen.

Wie werde ich die Malware wieder los?

Da sich der bösartige Treiber tief im Kernel verankert und sich bei jedem Neustart als Windows-Dienst reaktiviert, reichen normale Bereinigungstools im laufenden Betrieb nicht aus. Versucht ein Virenscanner zu starten, wird er sofort wieder beendet.

Um das System zu bereinigen, muss der Rechner zwingend im abgesicherten Modus gestartet oder ein externes Recovery-Tool verwendet werden. Nur so lässt sich der Treiber manuell entfernen. Nach einer Infektion sollten zudem alle gespeicherten Passwörter und Tokens als kompromittiert betrachtet werden.

Wer steckt hinter den Angriffen?

Die genaue Identität der Täter ist nicht zweifelsfrei geklärt. Sicherheitsforscher gehen jedoch davon aus, dass Rapuncel eine Variante der sogenannten BoryptGrab-Kampagne sein könnte. Bei dieser wurden in der Vergangenheit ähnliche Taktiken und Dateinamen verwendet.

Es heißt, dass Kommentare im Quellcode und verwendete IP-Adressen früherer BoryptGrab-Versionen auf einen russischen Ursprung hindeuten könnten. Bestätigt ist dies für die aktuelle Rapuncel-Variante jedoch nicht. Die Täter agieren hochprofessionell und passen ihre Infrastruktur ständig an.

Zusammenfassung

Gefälschte Repositories locken mit getarnten Downloads bekannter Software
Künstlich vergrößerte Archive umgehen dabei automatische Schutzprüfungen
Ein signierter Treiber schaltet gezielt viele Sicherheitsprogramme ab
Der Trojaner stiehlt Passwörter, Krypto-Wallets und sensible Sitzungsdaten
Browser-Schutzfunktionen werden durch injizierten Programmcode umgangen
Das System lässt sich oft nur im abgesicherten Windows-Modus bereinigen

Siehe auch:

Thema:

Open Source

Gefällt dir dieser Artikel? WinFuture in der Google-Suche bevorzugen WinFuture auf folgen

Kommentieren0

Hinweis einsenden

Weitere Nachrichten zum Thema Perfekter Hack: Wenn 100.000 Webseiten plötzlich Malware liefernMantax Otax: Android wird von neuer Super-Malware getroffenSafe Link spinnt: Defender stuft harmlose Google-Links als Malware einClaude-KI im Visier: Malware stiehlt Sitzungen und leert Konten