Репозитории на GitHub с вредоносным программным обеспечением маскируются под легитимные эмуляторы PlayStation 5, пишет Tom’s Hardware со ссылкой на отчёт исследовательской группы NordVPN по анализу угроз. Исследователи указывают, что поддельные эмуляторы AnyPS5 и KytyPS5 крадут пароли геймеров.
Вредоносный софт использует самоподписанные сертификаты, созданные под вымышленными названиями компаний в тот же день, когда было собрано само ПО. Это позволяет предположить, что кампания по распространению вредоносного ПО может быть автоматизирована. Через две минуты после заражения скрипт очистки удаляет файлы вредоносного софта c заражённого ПК, не оставляя никаких следов присутствия.
Злоумышленники используют названия двух известных проектов, получивших распространение в сообществе эмуляции PS5. AnyPS5 — это инструмент для запуска PS5-игр на ПК без эмуляции консоли. Утилита связывает код игр в исполняемый файл для целевой операционной системы. KytyPS5 — это эмулятор для запуска игр PS5 на ПК. Оба проекта доступны для бесплатной загрузки через соответствующие репозитории на GitHub.
При посещении одного из вредоносных репозиториев, выдающих себя за эти инструменты, пользователей перенаправляют на загрузку ZIP‑файла, который содержит исполняемый файл для Windows. Примечательно, что репозитории GitHub, используемые в рамках вредоносной кампании, быстро меняются. Не исключено, что GitHub — не единственный источник распространения.
Вредоносный исполняемый файл распаковывает скрытое приложение, прежде чем запустить собственный многоступенчатый загрузчик. Сначала загрузчик определяет, работает ли он на обычном компьютере или в изолированной среде, используемой специалистами по информационной безопасности для анализа вредоносных программ. Для этого загрузчик проверяет, доступно ли менее 2 ГБ оперативной памяти, запущена ли система на виртуальной машине или облачном сервере, а также установлена ли в ПК физическая видеокарта. Если обнаруживается хотя бы один из этих признаков, загрузчик прекращает работу.
Когда загрузчик признаёт компьютер подходящей целью, вредоносная программа добавляет исключения в Microsoft Defender, чтобы антивирус не проверял её файлы и не обнаружил угрозу. В итоге загрузчик расшифровывает и запускает основную часть вредоносной программы.
Эта полезная нагрузка вредоносного ПО представляет собой исполняемый файл, защищённый коммерческим упаковщиком. Вероятно, это инфостилер — разновидность вредоносного ПО, предназначенная для кражи паролей и любых других конфиденциальных данных, которые ей удаётся обнаружить.
После получения доступа к предположительному вредоносному файлу следует отключить ПК от интернета и запустить полную антивирусную проверку. Также стоит по возможности сменить пароли на отдельном устройстве.
В прошлом месяце разработчик Натан Фарго опубликовал Relapse — открытую цепочку эксплойтов для PlayStation 5, которая работает с версиями прошивок от 7.00 до 13.60. Она даёт доступ к памяти ядра и позволяет устанавливать пользовательский софт. Спустя месяц Sony начала требовать обновления прошивки PS5 до 14.10 для доступа к сервису загрузки контента PSN.
К середине октября разработчик Девран Космо Уэнал портировал KytyPS5 на Xbox. Благодаря этому на консоли от Microsoft теперь можно запускать игры для игровой системы от Sony.
Источник: habr.com