Поддельные эмуляторы PS5 крадут пароли: как распознать опасную загрузку
Репозитории на GitHub, выдающие себя за проекты для запуска игр PlayStation 5 на ПК, распространяют вредоносное ПО. По данным исследователей NordVPN, поддельные версии AnyPS5 и KytyPS5 устанавливают на компьютер инфостилер - программу, которая может похищать пароли и другие конфиденциальные сведения.
Злоумышленники используют названия реальных проектов из сферы эмуляции и запуска игр. AnyPS5 предназначен для преобразования игрового кода в исполняемый файл для целевой операционной системы, а KytyPS5 позиционируется как эмулятор PS5 для ПК. Оба проекта можно найти в интернете, однако ссылки на них и похожие адреса могут вести на мошеннические страницы.
При переходе в поддельный репозиторий пользователь получает предложение скачать ZIP-архив. Внутри находится исполняемый файл для Windows. После запуска он распаковывает скрытое приложение, которое выполняет несколько этапов подготовки, прежде чем загрузить основную вредоносную программу.
Как вредоносное ПО избегает обнаружения
Сначала загрузчик проверяет компьютер на признаки исследовательской или виртуальной среды. Он может выяснить, установлено ли менее двух гигабайт оперативной памяти, работает ли система в виртуальной машине или на облачном сервере и есть ли в компьютере физическая видеокарта. Если программа обнаруживает один из таких признаков, она прекращает работу. Это помогает ей скрываться от специалистов, изучающих вредоносный код.
Если компьютер кажется подходящей целью, загрузчик добавляет исключения в Microsoft Defender. В результате антивирус может перестать проверять файлы, связанные с угрозой. Затем программа расшифровывает и запускает основную полезную нагрузку. Она защищена коммерческим упаковщиком, а по характеру её действий исследователи предполагают, что это инфостилер, созданный для сбора паролей и других доступных ему данных.
После заражения вредоносная программа, по имеющимся данным, удаляет свои файлы примерно через две минуты. Такая очистка затрудняет обнаружение следов атаки, но сама по себе не означает, что данные и система в безопасности.
Исследователи также отметили, что сертификаты, которыми подписаны вредоносные файлы, созданы от имени вымышленных компаний в тот же день, когда было собрано программное обеспечение. Это может указывать на автоматизированное создание образцов. Репозитории, связанные с кампанией, быстро меняются, поэтому GitHub может быть не единственным каналом распространения.
Что делать, если вы скачали подозрительный файл
Если архив был загружен, но его содержимое не запускали, удалите файл и проверьте компьютер антивирусом. Если исполняемый файл уже запускался, отключите устройство от интернета: это может ограничить дальнейшую передачу данных злоумышленникам. Затем проведите полную проверку системы надёжным защитным ПО.
Пароли лучше менять с другого, заведомо безопасного устройства. В первую очередь обновите данные для входа в электронную почту, игровые и платёжные сервисы, а также аккаунты, где сохранены банковские сведения. Если есть такая возможность, включите двухфакторную аутентификацию и завершите активные сеансы на всех устройствах. Повторно использовать прежние пароли не стоит: если их похитили, смена только одного из них не защитит остальные учётные записи.
Не запускайте подозрительную программу повторно, даже если после первого старта она исчезла или не показала никаких сообщений. При признаках компрометации - неизвестных исключениях в антивирусе, необычных процессах или попытках входа в аккаунты - может потребоваться помощь специалиста. В особо серьёзной ситуации следует сохранить важные файлы и переустановить операционную систему, предварительно убедившись, что резервные копии не содержат заражённых программ.
Как безопасно искать эмуляторы и игровые утилиты
Перед загрузкой проверьте, что репозиторий действительно принадлежит разработчикам проекта. Сравните название, историю изменений и сведения об авторах с информацией, опубликованной в официальных каналах разработчиков. Одна лишь страница на GitHub не гарантирует безопасность: мошенники могут копировать оформление и названия известных программ.
С осторожностью относитесь к архивам, которые требуют отключить антивирус, добавить исключение в Defender или запустить файл с правами администратора без понятного объяснения. Не открывайте исполняемые файлы, полученные из неизвестных источников, даже если они обещают запускать популярные игры или предлагают установить "обязательное обновление".
Вредоносные сертификаты и подписи тоже не дают гарантии подлинности. В описанном случае сертификаты были оформлены на вымышленные компании, поэтому наличие цифровой подписи само по себе не доказывает, что файл выпущен настоящими разработчиками. Важнее проверять происхождение программы и не доверять ссылкам из случайных сообщений и рекламных публикаций.
Ситуация развивается на фоне повышенного интереса к запуску игр PlayStation на других устройствах. Ранее разработчик Натан Фарго представил открытую цепочку эксплойтов для PS5, рассчитанную на прошивки от 7.00 до 13.60. Она предоставляет доступ к памяти ядра и позволяет устанавливать пользовательское программное обеспечение. Позднее Sony стала требовать обновить консоль до версии 14.10 для доступа к загрузке контента через PSN.
Кроме того, разработчик Девран Космо Уэнал портировал KytyPS5 на Xbox, что позволило запускать игры для системы Sony на консоли Microsoft. Такие новости усиливают интерес к инструментам совместимости, но одновременно создают удобную почву для мошенников: пользователи чаще ищут новые версии программ и готовы скачивать файлы, обещающие расширить возможности устройств.
Главное правило - не торопиться с запуском найденной утилиты. Проверка разработчика, осторожность с архивами и отказ от отключения защиты снижают риск заражения. А если файл уже был запущен, следует считать сохранённые на компьютере пароли потенциально скомпрометированными и менять их с безопасного устройства.
