Фальшивые эмуляторы PS5 на GitHub распространяют стилеры

В репозиториях GitHub зафиксирована кампания по распространению вредоносного софта, нацеленная на геймеров и любителей запуска консольных игр на ПК. Пользователи, скачивающие поддельные эмуляторы PS5 на GitHub, рискуют отдать свои конфиденциальные данные злоумышленникам.

Вместо игрового софта загружаемые архивы содержат вредоносные программы под видом эмуляторов, которые изменяют настройки безопасности системы, отключают защитник Microsoft Defender и разворачивают программу для хищения паролей.

Суть угрозы и маскировка под популярные проекты

Исследователи из команды NordVPN Threat Intelligence обнаружили в сервисе GitHub поддельные репозитории, созданные под именами известных или внешне правдоподобных проектов эмуляции, таких как KyttyPS5 и AnyPS5. Страницы этих репозиториев визуально скопированы с реальных открытых проектов, что создаёт у пользователей ложное ощущение безопасности.

Поскольку эмуляция современных консолей требует сложной разработки, а большинство рабочих сборок распространяется в виде открытого кода или тестовых билдов, пользователи привыкли искать их именно на платформе GitHub. Мошенники воспользовались этим доверием, предлагая поддельные исполняемые файлы под видом свежих релизов.

Поэтапный механизм заражения компьютера

Атака устроена таким образом, чтобы обойти стандартные защитные механизмы операционной системы и максимально затруднить последующее обнаружение инцидента.

Обход защиты Microsoft Defender

На первом этапе вредоносный скрипт или загрузчик вносит изменения в конфигурацию встроенного антивируса Microsoft Defender. Он добавляет папки и отдельные файлы программы в список исключений, предписывая антивирусу пропускать их при регулярных и оперативных проверках. За счёт изменения настроек безопасности системный защитник перестаёт реагировать на подозрительные действия, которые совершаются в дальнейшем.

Внедрение стилера и скрытие следов

После успешного отключения сканирования в выбранных директориях вредоносное ПО запускает основной исполняемый файл. Специалисты NordVPN предполагают, что эта программа относится к классу инфостилеров. Основная задача подобного софта заключается в сборе сохранённых паролей, данных авторизации из браузеров, а также другой конфиденциальной информации пользователя.

Завершив развёртывание стилера, система запускает специальный скрипт очистки. Он автоматически удаляет исходные установочные файлы и промежуточные компоненты атаки. В результате владелец компьютера остаётся без явных признаков заражения: на диске не сохраняется запускных инсталляторов, а сам защитный софт молчит из-за предварительно внесенных исключений.

Уязвимость аудитории и особенности распространения

Специфика сообщества любителей эмуляции делает пользователей этой ниши удобной мишенью для киберпреступников.

Технический директор NordVPN Мариюс Бриедис отмечает, что энтузиасты привыкли загружать экспериментальные программы с платформы GitHub и запускать файлы без цифровой подписи разработчика. В среде тестировщиков неподписанный софт считается обычной практикой, поэтому появление предупреждений операционной системы не вызывает у пользователей подозрений.

При этом исследователи подчеркивают важные ограничения текущего анализа:

• Точное число пользователей, успевших скачать фальшивые эмуляторы, на данный момент неизвестно.
• Конкретное семейство или название внедряемого инфостилера пока не установлено окончательно.
• Идентификация программы как стилера основана на её поведенческих факторах и реакциях защитных систем.

Как распознать поддельные эмуляторы PS5 на GitHub и защитить ПК

Эксперты по безопасности рекомендуют соблюдать несколько правил при загрузке неофициального программного обеспечения с открытых платформ:

Проверяйте первоисточник. Самого по себе узнаваемого названия проекта или внешне аккуратной страницы на GitHub недостаточно. Необходимо удостовериться, что ссылка на репозиторий размещена на официальном сайте разработчиков или в их верифицированных социальных сетях.

Анализируйте историю репозитория. Недавно созданные страницы с минимальным количеством звёзд, коммитов и отзывов требуют повышенного внимания. Если проект существует всего несколько дней, а ссылки на него распространяются через сторонние форумы, риски загрузки вредоносного софта крайне велики.

Не отключайте антивирус. Отключение защитника Windows или внесение ручных исключений для неизвестных бинарных файлов снимает ключевой барьер безопасности. Экспериментальный статус программы не должен служить поводом для отключения средств защиты.

Главным фактором защиты в подобных ситуациях остаётся тщательная проверка связи между авторами проекта и репозиторием, с которого скачивается исполняемый файл.