Фахівці підрозділу Threat Intelligence компанії NordVPN повідомили про нову шахрайську кампанію, спрямовану на користувачів, які хочуть запускати ігри PlayStation 5 на комп’ютерах. Зловмисники створюють підроблені репозиторії на платформі GitHub, копіюючи назви та оформлення відомих проєктів KytyPS5 і AnyPS5. Перший розробляється як емулятор консолі, тоді як другий призначений для запуску адаптованих ігор PS5 на Windows та Linux. Саме популярність цих інструментів кіберзлочинці використовують, щоб переконати людей завантажити шкідливі файли.
Небезпечне програмне забезпечення поширюється у вигляді ZIP-архівів, усередині яких містяться виконувані файли для Windows. На перший погляд вони можуть нагадувати звичайні інсталятори експериментальних програм. Однак після запуску замість емулятора активується прихований завантажувач, який готує комп’ютер до встановлення інших шкідливих компонентів.
Як працює вірус і чому його складно виявити
Особливістю виявленого шкідливого ПЗ стала багатоступенева система перевірки комп’ютера. Перед початком роботи програма визначає обсяг оперативної пам’яті, наявність фізичної відеокарти та перевіряє, чи не запущена вона у віртуальному середовищі. Якщо система має менш ніж 2 ГБ оперативної пам’яті або нагадує середовище для аналізу вірусів, шкідлива програма припиняє роботу. Такий механізм допомагає уникати виявлення під час автоматизованих перевірок безпеки.
Додайте GSMinfo до джерел у Google News Щоб бачити наші публікації у своїй стрічці новинПісля успішного проходження перевірок програма змінює налаштування Microsoft Defender, додаючи власні файли до списку винятків антивіруса. Далі запускається компонент, який дослідники вважають інфостилером — програмою для викрадення паролів та іншої конфіденційної інформації. Приблизно через дві хвилини спеціальний сценарій видаляє частину файлів, пов’язаних із зараженням, ускладнюючи подальше розслідування.
Технічний директор NordVPN Маріюс Брідіс зазначає, що прихильники емуляції є особливо зручною ціллю для таких атак. Вони часто завантажують експериментальні програми з GitHub і запускають файли без цифрового підпису, тому підроблений інсталятор може не викликати підозр. Водночас дослідники наголошують, що небезпеку становлять саме шахрайські копії репозиторіїв, а не оригінальні проєкти розробників.
Як захистити комп’ютер від зараження
Перед завантаженням емулятора експерти рекомендують перевіряти, кому належить репозиторій на GitHub. Варто звертати увагу на дату його створення, історію оновлень, активність розробників та посилання з офіційних сторінок проєктів. Особливо підозрілими є нещодавно створені сторінки, які пропонують готовий інсталятор і водночас вимагають вимкнути антивірус.
Якщо користувач уже завантажив і запустив підозрілий файл, фахівці радять негайно від’єднати комп’ютер від інтернету та провести повну перевірку системи. Також необхідно перевірити список винятків Microsoft Defender, оскільки шкідлива програма могла змінити його налаштування. Паролі від пошти, ігрових сервісів, банківських та інших важливих облікових записів слід змінювати з іншого, гарантовано безпечного пристрою.
Окремо варто завершити активні сеанси входу до важливих акаунтів і ввімкнути двофакторну автентифікацію. Якщо шкідлива програма вже отримала доступ до особистих даних, простого видалення завантаженого архіву може бути недостатньо.
За даними NordVPN, зловмисники регулярно змінюють підроблені репозиторії, тому видалення однієї шахрайської сторінки не означає припинення всієї кампанії. Фактична кількість постраждалих користувачів наразі невідома.
