Die gefährliche Stelle liegt vor dem eigentlichen Programmstart: Wer nach bekannter Software sucht, kann auf eine überzeugend gestaltete GitHub-Projektseite geraten, die nicht vom Hersteller stammt. Im von LastPass und Delphos Labs untersuchten Fall führte ein angeblicher Authenticator-Download über mehrere versteckte Weiterleitungen zu einer präparierten ZIP-Datei. Die Forschenden verfolgen die Schadsoftware unter dem Namen „Rapuncel“.
Der technische Bericht beschreibt eine mehrstufige Kette. Nach dem Start versucht die Software, höhere Rechte zu erhalten. Ein von Microsoft attestierter Treiber konnte in der untersuchten Probe Prozesse zahlreicher Schutzprogramme beenden. Danach zielte die Schadsoftware unter anderem auf Browserdaten, Zugangsdaten, Krypto-Wallets und Kommunikationsdienste. Der Bericht nennt mindestens 40 nachgeahmte Unternehmen, warnt aber zugleich, dass Infrastruktur und Dateien schnell wechseln.
Vier Prüfungen senken das Risiko: Erstens die Downloadadresse mit der offiziellen Herstellerseite abgleichen. Zweitens kontrollieren, ob der Hersteller GitHub überhaupt als Vertriebskanal nennt. Drittens unerwartete ZIP-Dateien und angebliche Vertrauenssiegel nicht als Echtheitsbeleg behandeln. Viertens Herausgeber und Signatur prüfen – eine gültige Signatur allein garantiert keinen harmlosen Inhalt. LastPass stellt klar, dass der eigene Authenticator nicht über GitHub verteilt wird und weder eigene Systeme noch Passworttresore betroffen waren.
Trend Micro beschreibt unabhängig ein ähnliches Muster bei der Kampagne „BoryptGrab“: suchmaschinenoptimierte GitHub-Repositories, täuschende Downloadseiten, ZIP-Dateien und Stealer-Funktionen. LastPass und Delphos sehen mögliche Überschneidungen, halten aber ausdrücklich offen, ob beide Kampagnen denselben Betreiber haben.
GitHubs aktuelle Plattformregel verbietet die Nutzung der Plattform zur aktiven Verteilung schädlicher Programme, schützt aber legitime Dual-Use-Sicherheitsforschung. Das ist für die Einordnung wichtig: Nicht jeder Sicherheitscode auf GitHub ist Malware. Entscheidend sind Täuschung, Auslieferung und Einsatzkontext. Wer eine verdächtige Seite entdeckt, sollte sie nicht testen, sondern über die offiziellen Meldewege von Hersteller und Plattform melden.