Gefälschter LastPass Authenticator: signierter Treiber schaltet 145 Schutzprogramme ab

Wer im Netz nach „LastPass Authenticator Download“ sucht, landete in den vergangenen Wochen mit einiger Wahrscheinlichkeit bei einer gefälschten GitHub-Organisation. Was von dort kam, war kein Authenticator, sondern ein Windows-Kernel-Treiber, der 145 Antiviren- und EDR-Prozesse abschaltet, bevor ein Passwort-Stealer anfängt zu arbeiten. Der Treiber trug eine gültige Microsoft-Signatur und wurde von keinem einzigen der 72 Virenscanner auf VirusTotal erkannt.

Aufgedeckt haben die Kampagne das Threat-Intelligence-Team von LastPass und die Analysefirma Delphos Labs; ihr gemeinsamer Bericht erschien am 17. September 2026. Gleich zur Entwarnung, weil das in Schlagzeilen gern untergeht: Bei LastPass selbst ist nichts passiert. Kein System, kein Dienst und kein Kunden-Tresor war betroffen. Missbraucht wurde allein der Markenname.

Das Wichtigste in Kürze

• Der Köder: SEO-optimierte GitHub-Organisationen wie github.com/LastPass-Authenticator mit echtem LastPass-Branding, dazu eine GitHub-Pages-Seite mit erfundenen Vertrauenssiegeln wie „VirusTotal Approved“.
• Der Treiber: Alinubx.sys, eine umbenannte Kopie von CcProtect.sys aus einem chinesischen Verschlüsselungsprodukt. Signiert über die Kette „Microsoft Windows Hardware Compatibility Publisher“, Signaturdatum März 2023. Erkennungsrate auf VirusTotal: 0 von 72.
• Die Wirkung: Aus dem Kernel heraus beendet er 145 fest einprogrammierte Sicherheitsprozesse und umgeht dabei den Schutzmechanismus Protected Process Light.
• Die Beute: Der Stealer Rapuncel greift Zugangsdaten aus 19 und mehr Browsern ab, dazu über 34 Krypto-Wallets, Discord-, Steam- und Telegram-Sitzungen sowie den Windows-Anmeldeinformationsspeicher.
• Die Tarnung: Die ZIP-Archive sind mit Datenmüll auf 128 bis 148 MB aufgeblasen, damit automatische Scanner sie wegen ihrer Größe gar nicht prüfen.
• Kein Einzelfall: Dieselbe Infrastruktur bedient Fälschungen für mindestens 40 Marken. Es handelt sich um einen Malware-as-a-Service-Baukasten.
• Microsoft sieht darin keine Sicherheitslücke, weil der Treiber nicht von Microsoft stammt. Er stand zum Zeitpunkt der Veröffentlichung nicht auf der Sperrliste für anfällige Treiber.

Wie der Angriff abläuft

Der Weg vom Suchtreffer zur Infektion ist sorgfältig gebaut. Zuerst führt ein auffälliger Download-Knopf von der gefälschten GitHub-Organisation auf eine GitHub-Pages-Seite, die eine Prüfanimation und erfundene Sicherheitsabzeichen zeigt. Danach laufen mehrere versteckte Weiterleitungen über weitere GitHub-Pages-Konten. Die Adresse des eigentlichen Auslieferungsservers steht dabei nicht in den Köderseiten, sondern wird zur Laufzeit von einem Zwischenserver abgerufen. Wird eine Domain abgeschaltet, liefert der Baukasten einfach eine neue.

Was schließlich herunterkommt, ist ein ZIP-Archiv mit einem Namen wie LastPass-Authenticator-download-1.66.2.zip. Darin liegt kein selbstgeschriebenes Installationsprogramm, sondern Microsofts eigener Visual-Studio-Debugger vsdbg.exe, lediglich umbenannt. Daneben liegt eine Datei vsdbg.dll, die von den Angreifern stammt. Windows lädt DLLs bevorzugt aus dem Verzeichnis der ausführbaren Datei — startet das Opfer den vermeintlichen Installer, führt ein signiertes Microsoft-Programm den Schadcode aus. Diese Technik heißt DLL-Sideloading und ist deshalb so wirksam, weil die Prozessliste völlig unauffällig aussieht.

Anschließend verschafft sich der Loader Administratorrechte, und zwar über drei Wege parallel: einen UAC-Bypass per COM Elevation Moniker, das Ausnutzen des normalen Rechteabfrage-Dialogs und Process Hollowing in ServiceModelReg.exe. Am Ende steht SYSTEM, die höchste Rechtestufe unter Windows. Dann wird der Treiber geladen, getarnt als NVIDIA-Dateisystemfilter unter C:\Windows\System32\drivers\nvfsflt64.sys und als Dienst mit dem harmlos klingenden Namen NvFsFilter.

Warum kein Schutzprogramm anschlug

Hier liegt der eigentliche Kern der Sache. Der Treiber schickt sich selbst per IOCTL eine Liste von 145 Prozesskennungen und beendet sie aus dem Kernel heraus. Laut Bericht löst er dazu jeden Zielprozess mit PsLookupProcessByProcessId auf, öffnet ihn mit ObOpenObjectByPointer und beendet ihn mit ZwTerminateProcess. Der entscheidende Trick: Er öffnet die Prozesse mit gesetztem Kernel-Modus-Flag und umgeht damit Protected Process Light, jenen Mechanismus, der Virenscanner eigentlich vor dem Abschießen bewahren soll.

Dass die Sache niemandem auffiel, hat einen unangenehm simplen Grund. Der Ursprungstreiber CcProtect.sys stand nie auf Microsofts Sperrliste für anfällige Treiber, und diese Liste arbeitet mit Hashwerten bekannter schlechter Dateien. Wer eine Datei umbenennt, ändert ihren Hash — und ist wieder unsichtbar. Delphos hat 18 Treiber aus öffentlichen BYOVD-Sammlungen plus die beiden hier relevanten gegen die am 20. August 2026 heruntergeladene Sperrliste geprüft: null Treffer von zwanzig. Während das Original immerhin sieben Erkennungen auf VirusTotal hatte, kam die umbenannte Fassung auf null.

Der Satz, auf den die Forscher ihre Analyse zuspitzen, ist knapp: „Microsoft attestation proves a driver passed through a trust pipeline. It does not prove the driver is safe.“ Eine Microsoft-Attestierung belegt also nur, dass ein Treiber durch einen Vertrauensprozess gelaufen ist, nicht dass er harmlos ist. Und zur Erkennung heißt es: Jedes Signal, das eine signaturbasierte Kontrolle auslesen konnte, stand auf grün.

Was Rapuncel mitnimmt

Ist die Luft rein, startet der Stealer. Besonders bemerkenswert ist sein Umgang mit Chromes App-Bound Encryption, der Schutzschicht, die gespeicherte Passwörter an den Browser bindet. Rapuncel injiziert eine 136 KB kleine Hilfs-DLL direkt in den Browserprozess und ruft von dort Chromes eigenen Entschlüsselungsdienst auf. Die Anfrage kommt damit scheinbar vom Browser selbst, und der Schutz greift nicht.

Gesammelt wird anschließend alles, was sich verkaufen lässt: Zugangsdaten aus mehr als 19 Browsern, Dateien von über 34 Krypto-Wallets, Discord-Tokens, Steam-Sitzungen (Steam wird dafür bei Bedarf unbemerkt gestartet), Telegram-Sitzungsdaten, der Windows-Anmeldeinformationsspeicher, Bildschirmfotos aller Monitore sowie sämtliche Dateien, deren Name Begriffe wie „password“, „seed“, „wallet“ oder „recovery“ enthält. Das Paket wandert als ZIP per rohem TCP an eine feste Adresse.

Beunruhigend ist, was der Treiber zusätzlich könnte, in diesem Fall aber nicht tat, weil die passende Konfigurationsdatei fehlte: Dateien und Registry-Einträge verstecken, DLLs in alle Prozesse einschleusen und den gesamten Webverkehr über einen lokalen Proxy umleiten. Die Funktionen sind fertig im Code vorhanden. Wer den Baukasten mietet, kann sie mit einer Datei aktivieren.

Microsofts Antwort

Delphos meldete den Treiber am 19. August 2026 über das MSRC-Portal. Die Antwort: Das Verhalten erfülle nicht Microsofts Definition einer Sicherheitslücke, da der Treiber keine Microsoft-eigene Komponente sei. Man wurde an das Einreichungsportal von Defender verwiesen. Zum Zeitpunkt der Veröffentlichung stand Alinubx.sys nicht in der Sperrliste.

Formal ist das nachvollziehbar — der Fehler steckt nicht in Windows. Praktisch bleibt eine Lücke, für die sich niemand zuständig fühlt: Ein Treiber eines Drittanbieters, den Microsoft attestiert hat, lässt sich beliebig oft umbenennen, und jede Umbenennung erzeugt einen neuen Hash, den keine hashbasierte Sperrliste kennt. Genau dasselbe Problem hat übrigens der gemeinschaftliche Gegenentwurf LOLDrivers.

Wer betroffen sein könnte — und was dann zu tun ist

Betroffen ist, wer den gefälschten Installer tatsächlich ausgeführt hat. Eine Opferzahl nennt der Bericht nicht. Die erste gefälschte GitHub-Organisation fiel LastPass am 13. August 2026 auf, die Kampagne selbst läuft laut Delphos aber seit Monaten; LastPass war nur die jüngste von über 40 missbrauchten Marken.

1. Alle Zugangsdaten als offengelegt betrachten, die im Browser dieses Rechners lagen, dazu Wallet-Dateien und die Sitzungen von Discord, Steam und Telegram.
2. Passwörter von einem anderen, sauberen Gerät ändern, nicht vom betroffenen Rechner. Dort läuft möglicherweise noch der Stealer.
3. Kontoaktivitäten prüfen, besonders bei Krypto-Diensten und allem, was an einer hinterlegten E-Mail-Adresse hängt.
4. Den Rechner neu aufsetzen. Das ist die unbequeme, aber richtige Empfehlung. Der Treiber installiert sich als automatisch startender Dienst und schießt nach jedem Neustart die Schutzprogramme erneut ab. Solange er nicht entfernt ist, bleibt die Maschine unter fremder Kontrolle — und er hebelt genau die Werkzeuge aus, mit denen man ihn normalerweise entfernen würde.

Für die Suche in Logs nennt der Bericht als Anhaltspunkte den Dienstnamen NvFsFilter, die Datei nvfsflt64.sys, den Gerätepfad \\.\Alinubx sowie Microsoft-signierte Treiber, in deren Signatur- oder Versionsangaben „Henan Dafeng“ oder „CnCrypt“ auftaucht.

Einordnung

Drei Dinge machen diesen Fall über den Einzelvorgang hinaus interessant.

Erstens: Die Suchmaschine ist zum Angriffsweg geworden. Ein GitHub-Treffer wirkt auf viele Menschen so vertrauenswürdig wie die Herstellerseite, und ein ordentlich gestaltetes Repository mit Logo ist in zehn Minuten gebaut. LastPass formuliert die Konsequenz unmissverständlich: „GitHub is not a LastPass distribution channel.“ Diese Regel gilt für die meiste Endanwender-Software. Wer etwas installieren will, holt es von der Herstellerdomain oder aus dem App-Store, nicht vom ersten Suchtreffer.

Zweitens: Ein installiertes Schutzprogramm ist keine Garantie. Hier wurde es nicht umgangen, sondern schlicht beendet — von einer Ebene aus, die darunter liegt. Wer einen Homelab-Rechner oder Arbeitsplatz absichert, sollte Erkennung deshalb nicht nur auf dem Gerät selbst verorten: Auffälliger Netzwerkverkehr fällt an der Firewall oder im DNS-Log auch dann auf, wenn auf dem Rechner kein Wächter mehr läuft.

Drittens: Das hier ist Dienstleistung, kein Hobby. Der Loader stammt mit hoher Wahrscheinlichkeit aus einem kommerziellen Crypter-Paket, der Stealer gehört mit mittlerer Wahrscheinlichkeit in die Familie einer bereits im März 2026 von Trend Micro beschriebenen Kampagne. Arctic Wolf zählte im Juli rund 300 solcher gefälschten Repositories. Wer heute eine Marke fälschen will, mietet das Werkzeug und tauscht das Logo.

Und eine Randnotiz zum Köder: Es ging um einen Authenticator, also ausgerechnet um Zwei-Faktor-Schutz. Das Sicherheitsbedürfnis selbst war der Haken. Wie geschickt solche Angriffe inzwischen an den Erwartungen der Nutzer ansetzen, zeigt auch der Passkey-Phishing-Fall bei Microsoft 365.

Häufige Fragen

Muss ich mein LastPass-Passwort ändern?

Nur wenn du den gefälschten Installer ausgeführt hast oder deine Zugangsdaten im Browser dieses Rechners lagen. Die LastPass-Infrastruktur selbst war nicht betroffen, es gab keinen Einbruch und keinen Tresor-Zugriff. Der Markenname wurde lediglich als Köder benutzt.

Woran hätte ich die Fälschung erkennen können?

Am Bezugsweg. Den echten LastPass Authenticator gibt es über lastpass.com und die offiziellen App-Stores, nicht über GitHub. Zweites Warnsignal war die Dateigröße: Ein Authenticator für Mobilgeräte und Desktop ist keine 148 MB groß. Abzeichen wie „VirusTotal Approved“ auf einer Downloadseite sind grundsätzlich bedeutungslos, weil jeder sie hinmalen kann.

Hilft es, wenn ich einen anderen Virenscanner benutze?

In diesem Fall kaum. Die Kill-Liste umfasst 145 Prozessnamen und deckt die verbreiteten Produkte einschließlich professioneller EDR-Lösungen ab. Der Treiber arbeitet unterhalb der Ebene, auf der diese Programme laufen.

Was bedeutet BYOVD?

„Bring Your Own Vulnerable Driver“. Angreifer bringen einen legitim signierten, aber missbrauchbaren Treiber selbst mit, um in den Kernel zu kommen. Sie brauchen dafür keine Sicherheitslücke in Windows, sondern nur einen Treiber, dem Windows vertraut. Die Technik ist seit Jahren etabliert; neu ist hier, wie leicht die Gegenmaßnahme durch simples Umbenennen ausgehebelt wurde.

Ist macOS auch betroffen?

Die Angreifer betrieben zusätzlich eine gefälschte macOS-Seite für LastPass, nahmen sie aber vor der Untersuchung offline. Der hier beschriebene Treiber und Stealer sind reine Windows-Software.

Quellen: Gemeinsamer Bericht von LastPass Threat Intelligence und Delphos Labs vom 17.09.2026 (Untersuchungsstand 10.09.2026), Berichterstattung von The Hacker News und BleepingComputer, Trend Micro zur verwandten Kampagne (März 2026), Arctic Wolf zu gefälschten GitHub-Repositories (Juli 2026). Abgerufen am 22.09.2026.