假冒 LastPass Authenticator 的 GitHub 仓库传播 Rapuncel 窃密木马，VPN 用户需警惕搜索入口风险

据 BleepingComputer 2026 年 9 月 18 日报道，一个仍在进行中的恶意软件活动正在利用经过搜索引擎优化的 GitHub 仓库，冒充知名软件公司的项目页面，诱导用户下载此前未被公开记录的信息窃取程序 Rapuncel。来源显示，此次活动中出现了假冒 LastPass Authenticator 的 GitHub 仓库，用看似可信的软件名称和开发平台背书降低受害者警惕。对于依赖密码管理器、双因素认证工具以及 VPN 保护网络连接的用户来说，这类攻击的核心风险不在“网络是否加密”，而在于下载入口被伪装、终端设备被植入窃密程序。

攻击方式：借 GitHub 与搜索排名制造可信假象

从来源摘要看，该活动并非简单投放陌生下载链接，而是通过 SEO 优化让恶意 GitHub 仓库更容易被搜索到。攻击者冒充知名软件厂商或热门安全工具，利用用户“搜索软件名—进入看似正规页面—下载文件”的习惯完成传播。GitHub 本身是合法开发平台，许多开源项目和软件组件都托管于此，因此假冒仓库更容易混入正常搜索结果。

这类手法尤其危险，因为它绕开了传统钓鱼邮件的一部分识别逻辑。用户可能并未点击可疑邮件，也没有访问明显陌生的网站，而是通过搜索引擎主动寻找工具。若仓库名称、说明、页面关键词与真实软件高度相似，就可能让人误以为其是官方发布渠道。来源提到的 Rapuncel 是此前未被记录的信息窃取程序，意味着安全产品和用户社区对其认知仍处于形成阶段，早期传播可能更难被普通用户察觉。

对隐私与 VPN 用户的影响

信息窃取程序的目标通常是终端上的敏感数据。虽然来源摘要没有列出 Rapuncel 的具体窃取范围，但“infostealer”这一类别本身就指向账号、浏览器数据、会话信息或其他本地隐私资产的风险。对 VPN 用户而言，需要明确一点：VPN 能帮助保护网络传输过程中的隐私与连接安全，但无法阻止用户主动安装恶意程序。一旦设备本身被感染，攻击者可能直接从本机层面窃取数据，绕过加密通道带来的保护。

这也解释了为什么假冒认证器、密码工具或安全软件的攻击值得高度关注。此类用户往往更重视隐私保护，也可能在设备上保存更多账号凭据、恢复代码或登录状态。攻击者选择冒充安全类工具，实际上是在利用用户的安全需求反向实施攻击。对于经常使用公共网络、远程办公或跨区域访问服务的用户，除了使用可信的 VPN 服务保护连接，例如 RedGate VPN 这类可选方案外，更关键的是确认软件来源与安装文件可信。

用户应立即检查的几个要点

• 优先从官方网站进入下载页，不要仅凭搜索结果中的 GitHub 仓库名称判断真伪。
• 核对仓库所有者、项目历史、发布记录和官方页面是否相互指向，避免下载孤立出现的“镜像版”或“安装器”。
• 对声称提供 LastPass Authenticator 或其他知名安全工具的第三方仓库保持谨慎，尤其是没有明确官方背书的页面。
• 若近期曾从搜索结果进入 GitHub 下载认证器、密码管理或安全工具，应尽快进行终端安全扫描，并关注账号异常登录。
• 为重要账户启用多因素认证，同时妥善保存恢复方式；如怀疑设备感染，应在干净设备上修改密码。

安全解读：搜索结果不等于可信来源

这起事件再次说明，软件供应链风险已经延伸到用户获取软件的最前端。过去，许多人会把“是否来自 GitHub”视为相对可信的判断依据，但攻击者正在利用平台声誉、SEO 排名和品牌仿冒制造连环误导。对于隐私保护实践来说，关键不是只依赖单一工具，而是建立完整习惯：确认来源、减少不必要安装、保持系统与安全软件更新，并将高价值账号与日常浏览环境适当隔离。

目前来源显示该恶意活动仍在持续。普通用户无需恐慌，但应将其视为一次提醒：当安全工具本身成为诱饵时，最有效的防护往往从下载前的一次核验开始。不要把搜索排名、平台域名或项目名称等同于官方身份，这是避免 Rapuncel 这类窃密程序进入设备的第一道防线。