Поддельные эмуляторы PS5 на GitHub крадут пароли пользователей

На GitHub обнаружили репозитории, которые маскируются под легитимные инструменты для запуска игр PlayStation 5 на компьютере. Как пишет Tom's Hardware со ссылкой на исследование NordVPN, поддельные версии AnyPS5 и KytyPS5 распространяют вредоносную программу, способную красть пароли и другие конфиденциальные данные.

Злоумышленники используют названия популярных проектов из сообщества эмуляции PS5. AnyPS5 предназначен для подготовки кода игр к запуску в виде исполняемого файла для выбранной операционной системы, а KytyPS5 позиционируется как эмулятор игр PlayStation 5 для ПК. Оба проекта распространяются бесплатно через репозитории на GitHub, чем и пользуются авторы вредоносной кампании.

При переходе в поддельный репозиторий пользователя перенаправляют на загрузку ZIP-архива. Внутри находится исполняемый файл для Windows, который после запуска распаковывает скрытое приложение и активирует многоступенчатый загрузчик. Используемые в кампании репозитории быстро меняются, поэтому GitHub, вероятно, может быть не единственным каналом распространения этой угрозы.

Загрузчик проверяет компьютер и обходит защиту

Перед запуском основной части вредоносная программа пытается определить, не работает ли она в среде анализа. Загрузчик проверяет объём оперативной памяти, наличие виртуальной машины или облачного сервера, а также физической видеокарты. Если на компьютере доступно менее 2 ГБ оперативной памяти или обнаружен хотя бы один из других признаков изолированной среды, выполнение прекращается.

На подходящем для атаки устройстве программа добавляет исключения в Microsoft Defender. Это позволяет скрыть собственные файлы от антивирусной проверки и усложнить обнаружение. Затем загрузчик расшифровывает и запускает основную полезную нагрузку — исполняемый файл, защищённый коммерческим упаковщиком.

Исследователи предполагают, что полезная нагрузка представляет собой инфостилер — вредоносную программу для кражи паролей и других данных, которые она сможет найти на компьютере. Дополнительная особенность атаки — скрипт очистки, удаляющий файлы вредоносного ПО примерно через две минуты после заражения. Самоподписанные сертификаты для файлов создаются под вымышленными названиями компаний в день сборки программы, что может указывать на автоматизацию кампании.

Что делать после загрузки подозрительного файла

Если пользователь уже запустил файл из сомнительного репозитория, специалисты рекомендуют отключить компьютер от интернета и выполнить полную антивирусную проверку. Пароли, которые могли храниться на заражённом устройстве, лучше сменить с другого, заведомо безопасного устройства.

Кампания появилась на фоне заметного интереса к инструментам для запуска игр PS5 на сторонних устройствах. В прошлом месяце разработчик Натан Фарго представил Relapse — открытую цепочку эксплойтов для PlayStation 5 с поддержкой версий прошивки от 7.00 до 13.60. Она предоставляет доступ к памяти ядра и позволяет устанавливать пользовательское программное обеспечение.

Позднее Sony начала требовать обновления PS5 до версии 14.10 для доступа к сервису загрузки контента PSN. К середине октября разработчик Девран Космо Уэнал портировал KytyPS5 на Xbox, благодаря чему на консоли Microsoft появилась возможность запуска игр для системы Sony.