Геймърите, които търсят начини да стартират игри за PlayStation 5 на своите компютри, са станали мишена на нова кампания за разпространение на зловреден софтуер. Киберпрестъпници създават фалшиви GitHub хранилища, представящи се за популярни проекти за емулация на PS5, но вместо работещ софтуер предлагат файлове, съдържащи опасен код за кражба на пароли и друга чувствителна информация. Според информация, предоставена на Tom's Hardware от екипа за разузнаване на киберзаплахи на NordVPN, атаката използва имената на два познати проекта – AnyPS5 и KyttyPS5, за да спечели доверието на потребителите и да ги подмами да инсталират заразени приложения.

Схемата разчита на факта, че много почитатели на емулацията са свикнали да изтеглят експериментален софтуер от GitHub, включително приложения, които все още са в ранен етап на разработка и нямат официален цифров сертификат. Именно това улеснява престъпниците, които създават копия на легитимни страници и използват познати имена, за да направят опасните файлове да изглеждат напълно достоверни. Потребителите получават ZIP архив, съдържащ изпълним файл за Windows, който няма реална функционалност на емулатор, а служи като начална точка за заразяване на компютъра.

AnyPS5 и KytyPS5 са реални проекти, но това не означава, че всяко GitHub хранилище, използващо техните имена, е официално или безопасно. Освен това AnyPS5 по същество представлява слой за съвместимост, който позволява стартирането на PS5 игри като нативни приложения под Windows и Linux, а не традиционен емулатор. Злонамерените страници се възползват именно от популярността на подобни разработки и от интереса на потребителите към възможността да играят заглавия за конзолата на Sony без да притежават самата система.

След стартирането на заразения изпълним файл започва многоетапен процес, чиято първа задача е да установи дали програмата работи на реален потребителски компютър или в контролирана среда за анализ на зловреден софтуер. За тази цел кодът проверява различни характеристики на системата, включително наличието на по-малко от 2 GB оперативна памет, използването на виртуална машина, работата върху облачен сървър или липсата на физическа видеокарта. Ако бъдат установени някои от тези условия, програмата прекратява изпълнението си, без да показва очевидни признаци за активност. Подобно поведение е характерно за съвременните заплахи, които се опитват да затруднят работата на специалистите по киберсигурност и автоматизираните системи за анализ.

Ако компютърът бъде разпознат като подходяща цел, зловредният код преминава към следващия етап – промяна на настройките за сигурност на Windows. По-конкретно, той добавя изключения в Microsoft Defender, вградения антивирусен инструмент на операционната система. Тези правила указват на Defender да пропуска определени файлове или директории при проверките си, което значително улеснява последващото изпълнение на вредоносния компонент. След това се декриптира и стартира основният полезен товар, който според изследователите вероятно представлява "инфостийлър" – категория зловреден софтуер, специализирана в извличането на пароли, идентификационни данни и друга лична информация.

Допълнително усложнение за засегнатите потребители е начинът, по който атаката прикрива следите си. Според доклада на NordVPN приблизително две минути след заразяването се изпълнява скрипт за почистване, който премахва файловете на зловредния софтуер от компютъра. Така след първоначалното изпълнение може да останат значително по-малко видими следи, което затруднява установяването на причината за компрометирането. Изследователите са открили и самоподписани цифрови сертификати с измислени имена на компании. Особено подозрително е, че сертификатите са създадени в същия ден, в който са компилирани съответните зловредни файлове – обстоятелство, което подсказва използването на автоматизирани инструменти за генериране на заразените инсталатори.

Проблемът не се ограничава единствено до самото изтегляне на файлове. В случая нападателите използват доверието, което потребителите имат към познати имена на проекти и към GitHub като платформа за разработка на софтуер с отворен код. Това е особено ефективна стратегия при експерименталните емулатори, тъй като потребителите често очакват да срещнат неофициални версии, непроверени инсталатори и приложения без цифров подпис. Именно тази нагласа може да ги накара да пренебрегнат предупредителните сигнали.

Най-важната препоръка към потребителите е винаги да проверяват произхода на софтуера, преди да го изтеглят и стартират. При GitHub проектите това означава да се провери дали хранилището действително принадлежи на официалния екип за разработка, дали е свързано от официалния сайт или комуникационните канали на проекта и дали има последователна история на разработка. Броят на звездите, разклоненията и активността на разработчиците могат да дадат допълнителна информация, но сами по себе си не представляват гаранция за безопасност. Особено внимание трябва да се обръща на наскоро създадени профили, подозрителни връзки към външни сайтове и архиви, които съдържат изпълними файлове вместо очаквания софтуер.

Не бива да се изключва Microsoft Defender или друг антивирусен продукт само защото даден инсталатор го изисква. Това е сериозен предупредителен сигнал, особено когато става дума за софтуер, изтеглен от непроверен източник. Потребителите трябва да избягват и стартирането на непознати файлове с администраторски права, освен ако не са напълно сигурни в техния произход и предназначение.

Снимка: Unsplash

Виж още: Електрическото бъдеще на Harley-Davidson е все по-близо до угасване