Фальшивые эмуляторы PS5 на GitHub крадут пароли игроков
Исследователи NordVPN обнаружили на GitHub вредоносные репозитории, которые выдают себя за эмуляторы PS5 для запуска игр на компьютере. Они нацелены на пользователей, которые скачивают экспериментальное ПО и запускают файлы без цифровой подписи.
Поддельные страницы копируют проекты AnyPS5 и Kyttyps5. AnyPS5 позволяет запускать игры PS5 как обычные приложения в Windows и Linux, а Kyttyps5 предназначен для эмуляции игр на компьютерах. Оба проекта доступны бесплатно через GitHub, но ссылки на фальшивые репозитории ведут к ZIP-архиву с исполняемым файлом для Windows.
По данным Engadget, вредоносная программа добавляет исключения в Microsoft Defender, чтобы обойти проверку антивируса. Затем она запускает файл, который исследователи NordVPN считают похитителем данных: он собирает пароли и другую доступную личную информацию.
Примерно через две минуты после заражения скрипт очистки удаляет файлы вредоносной программы с компьютера. По данным команды Threat Intelligence NordVPN, файлы подписаны самоподписанными сертификатами: их создавали под вымышленными названиями компаний в тот же день, когда собирали вредоносное ПО. Это может указывать на автоматизацию кампании.
Злоумышленники меняют репозитории, использованные в атаке, поэтому ссылки на них могут появляться снова. Исследователи также допускают, что GitHub может быть не единственным местом распространения. Пользователям советуют проверять, связана ли ссылка на GitHub с командой разработчиков проекта, настороженно относиться к недавно созданным репозиториям с небольшим числом отзывов и не отключать антивирус при скачивании и установке программ.
