Специалисты подразделения Threat Intelligence компании NordVPN сообщили о новой мошеннической кампании, направленной на пользователей, желающих запускать игры для PlayStation 5 на компьютерах. Злоумышленники создают поддельные репозитории на платформе GitHub, копируя названия и оформление известных проектов KytyPS5 и AnyPS5. Первый разрабатывается как эмулятор консоли, тогда как второй предназначен для запуска адаптированных игр PS5 на Windows и Linux. Именно популярность этих инструментов киберпреступники используют, чтобы убедить людей скачать вредоносные файлы.
Вредоносное программное обеспечение распространяется в виде ZIP-архивов, внутри которых находятся исполняемые файлы для Windows. На первый взгляд они могут напоминать обычные установщики экспериментальных программ. Однако после запуска вместо эмулятора активируется скрытый загрузчик, который подготавливает компьютер к установке других вредоносных компонентов.
Как работает вирус и почему его сложно обнаружить
Особенностью обнаруженного вредоносного ПО стала многоступенчатая система проверки компьютера. Перед началом работы программа определяет объем оперативной памяти, наличие физической видеокарты и проверяет, не запущена ли она в виртуальной среде. Если система имеет менее 2 ГБ оперативной памяти или напоминает среду для анализа вирусов, вредоносная программа прекращает работу. Такой механизм помогает избежать обнаружения во время автоматизированных проверок безопасности.
Добавьте GSMinfo в источники в Google News Чтобы видеть наши публикации в своей ленте новостейПосле успешного прохождения проверок программа изменяет настройки Microsoft Defender, добавляя собственные файлы в список исключений антивируса. Затем запускается компонент, который исследователи считают инфостилером — программой для кражи паролей и другой конфиденциальной информации. Примерно через две минуты специальный сценарий удаляет часть файлов, связанных с заражением, затрудняя дальнейшее расследование.
Технический директор NordVPN Мариюс Бридис отмечает, что поклонники эмуляции являются особенно удобной мишенью для таких атак. Они часто скачивают экспериментальные программы с GitHub и запускают файлы без цифровой подписи, поэтому поддельный установщик может не вызвать подозрений. В то же время исследователи подчеркивают, что опасность представляют именно мошеннические копии репозиториев, а не оригинальные проекты разработчиков.
Как защитить компьютер от заражения
Перед загрузкой эмулятора эксперты рекомендуют проверять, кому принадлежит репозиторий на GitHub. Стоит обращать внимание на дату его создания, историю обновлений, активность разработчиков и ссылки с официальных страниц проектов. Особенно подозрительными являются недавно созданные страницы, которые предлагают готовый установщик и при этом требуют отключить антивирус.
Если пользователь уже загрузил и запустил подозрительный файл, специалисты рекомендуют немедленно отключить компьютер от интернета и провести полную проверку системы. Также необходимо проверить список исключений Microsoft Defender, поскольку вредоносная программа могла изменить его настройки. Пароли от почты, игровых сервисов, банковских и других важных учетных записей следует менять с другого, гарантированно безопасного устройства.
Кроме того, следует завершить все активные сеансы входа в важные учетные записи и включить двухфакторную аутентификацию. Если вредоносная программа уже получила доступ к личным данным, простого удаления загруженного архива может оказаться недостаточно.
По данным NordVPN, злоумышленники регулярно меняют поддельные репозитории, поэтому удаление одной мошеннической страницы не означает прекращения всей кампании. Фактическое количество пострадавших пользователей на данный момент неизвестно.
