C
月内に
GitHub上でLastPass Authenticatorを装った偽の配布ページが公開され、インフォスティーラー（Rapuncel）を拡散させるキャンペーン
📌 一言でいうと
GitHub上でLastPass Authenticatorを装った偽の配布ページが公開され、インフォスティーラー（Rapuncel）を拡散させるキャンペーンが確認されました。攻撃者は「VirusTotal Approved」などの偽の信頼バッジを用いてユーザーを欺き、145以上のセキュリティツールを無効化する機能を備えたマルウェアを感染させます。LastPass社は、公式のダウンロード先は公式サイトと公式アプリストアのみであり、GitHubは利用していないと警告しています。
🔍該当判定
- パスワード管理ソフト「LastPass」を導入している
- GitHub上のページから「LastPass Authenticator」を検索してダウンロードした
- 公式サイト（lastpass.com）や公式アプリストア以外からLastPass関連ツールをインストールした
- 社内でLastPassを利用しており、最近不審な認証ツールを導入した社員がいる
上記いずれにも該当しない → 静観でOK
✅該当時の対応
ソフトウェアのダウンロードは必ず公式サイトまたは公式アプリストアから行うこと。GitHubなどのサードパーティプラットフォームで配布されている公式ツールを偽ったファイルは絶対にダウンロード・実行しないこと。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】偽のLastPass配布サイトによるウイルス感染について
お疲れさまです。情報システム担当です。
GitHub上で、パスワード管理ソフト「LastPass」の公式ツールを装った偽のダウンロードページが公開されており、ウイルス（情報窃取マルウェア）に感染させる被害が報告されています。
ご協力をお願いしたいこと:
1. ソフトウェアを導入する際は、必ず会社の指定する方法か、公式サイトからのみダウンロードしてください。
2. GitHubなどの外部サイトで「公式ツール」として配布されているファイルを安易にダウンロード・実行しないでください。
対応期限: 本日中（確認をお願いします）
お疲れさまです。情報システム担当です。
GitHub上で、パスワード管理ソフト「LastPass」の公式ツールを装った偽のダウンロードページが公開されており、ウイルス（情報窃取マルウェア）に感染させる被害が報告されています。
ご協力をお願いしたいこと:
1. ソフトウェアを導入する際は、必ず会社の指定する方法か、公式サイトからのみダウンロードしてください。
2. GitHubなどの外部サイトで「公式ツール」として配布されているファイルを安易にダウンロード・実行しないでください。
対応期限: 本日中（確認をお願いします）
Subject: [Security Alert] Fake LastPass Distribution Sites on GitHub
Dear employees,
It has been reported that fake download pages impersonating the 'LastPass' password manager are being hosted on GitHub to distribute information-stealing malware.
Requested Actions:
1. Always download software only through company-approved methods or official vendor websites.
2. Never download or execute files from third-party platforms like GitHub that claim to be 'official tools.'
Deadline: Immediate
Dear employees,
It has been reported that fake download pages impersonating the 'LastPass' password manager are being hosted on GitHub to distribute information-stealing malware.
Requested Actions:
1. Always download software only through company-approved methods or official vendor websites.
2. Never download or execute files from third-party platforms like GitHub that claim to be 'official tools.'
Deadline: Immediate