Gefälschter LastPass-Installer nutzt Microsoft-signierte Treiber zur AV-Deaktivierung

Security · 21.9.2026

Ein manipulierter LastPass-Installer verbreitet sich über GitHub. Er nutzt einen signierten Windows-Treiber, um Antiviren-Software auszuschalten und Passwörter zu stehlen.

Sicherheitsforscher warnen vor einer Schadsoftware, die sich als legitimer Installer für den LastPass Authenticator ausgibt und über GitHub verbreitet wird. Die Malware nutzt einen legitimen, von Microsoft digital signierten Windows-Kernel-Treiber, um installierte Sicherheitslösungen und EDR-Systeme (Endpoint Detection and Response) gezielt abzuschalten. Sobald der Schutz deaktiviert ist, schleust das Programm einen Password-Stealer ein, um sensible Anmeldedaten zu entwenden.

Warum ist das wichtig?

Diese Angriffsmethode wird als "Bring Your Own Vulnerable Driver" (BYOVD) bezeichnet und stellt für IT-Verantwortliche in DACH-Unternehmen sowie für anspruchsvolle Privatanwender eine erhebliche Bedrohung dar. Da der missbrauchte Kernel-Treiber eine gültige Microsoft-Signatur besitzt, wird er von vielen Betriebssystemen und Standard-Sicherheitslösungen zunächst als vertrauenswürdig eingestuft. Dies ermöglicht es Angreifern, tiefgreifende Systemrechte zu erlangen und etablierte Antiviren-Software wirkungslos zu machen. Für Administratoren bedeutet dies, dass herkömmliche signaturbasierte Erkennungsmethoden allein nicht ausreichen, um solche hochentwickelten Angriffe abzuwehren, insbesondere wenn Benutzer mit administrativen Rechten arbeiten und Software aus ungesicherten Quellen wie GitHub-Repositories herunterladen.

Was Nutzer jetzt tun sollten

Um sich vor dieser und ähnlichen Bedrohungen zu schützen, sollten Administratoren und IT-Sicherheitsverantwortliche folgende Maßnahmen ergreifen:

• Bezugsquellen einschränken: Stellen Sie sicher, dass Software und Authentifizierungs-Apps ausschließlich über offizielle App-Stores oder die direkten, verifizierten Hersteller-Websites bezogen werden. Downloads aus Drittquellen oder Repositories wie GitHub sollten im Unternehmensumfeld blockiert werden.
• Treiber-Blocklisten pflegen: Aktivieren Sie die Microsoft-Sicherheitsfunktion für die empfohlene Treiber-Blockliste (Microsoft Driver Blocklist) und halten Sie diese aktuell, um die Ausführung bekannter, anfälliger Treiber zu verhindern.
• Rechteverwaltung restriktiv gestalten: Setzen Sie das Prinzip der minimalen Rechtevergabe (Least Privilege) konsequent um. Standardnutzer sollten keine Berechtigungen besitzen, um Kernel-Treiber zu installieren.
• Verhaltensbasierte Erkennung nutzen: Setzen Sie auf moderne EDR-Lösungen, die nicht nur auf Datei-Signaturen vertrauen, sondern das Verhalten von Prozessen überwachen und Anomalien wie das unbefugte Beenden von Sicherheitsdiensten sofort blockieren.

Fazit

Der Missbrauch von kryptografisch signierten Treibern hebelt grundlegende Sicherheitsmechanismen von Windows aus. Nur durch eine Kombination aus strikten Richtlinien für Software-Downloads, restriktiven Benutzerrechten und modernen, verhaltensbasierten Sicherheitslösungen lässt sich dieses Risiko in Unternehmensnetzwerken effektiv minimieren.

Quelle: The Hacker News