Gamer, die nach Möglichkeiten suchen, PlayStation-5-Spiele auf ihren PCs zu spielen, werden mit als Emulator-Downloads getarnter Malware angegriffen.
Angreifer erstellten täuschend echt wirkende GitHub-Repositories, die sich als PS5-Emulatorprojekte wie AnyPS5 und KytyPS5 ausgaben. Statt funktionierender Emulationssoftware zu liefern, starten die Downloads einen mehrstufigen Infektionsprozess, der Sicherheitsanalysen umgehen und eine mutmaßliche Schadsoftware zum Informationsdiebstahl installieren soll.
Die Kampagne zeigt, wie Angreifer bekannte Projektnamen und vertrauenswürdige Software-Hosting-Plattformen ausnutzen können, um schädliche Dateien zu verbreiten, ohne die ursprünglichen Entwickler zu kompromittieren.
Vom gefälschten Emulator zum Infostealer: So lief der Angriff ab
Laut PCMag beobachteten Forscher von NordVPN den Angriff erstmals. Dem Medium zufolge richtet sich die Bedrohung gegen arglose Nutzer, die nach inoffiziellen Emulatoren suchen. NordVPN weist über PCMag darauf hin, dass dieses Ziel besonders geeignet war, da Nutzer auf der Suche nach Emulatoren daran gewöhnt sind, inoffizielle Software zu installieren.
Der Angriff beginnt, wenn die Opfer ZIP-Dateien aus GitHub-Repositories herunterladen, die sich als legitime PS5-Emulatorprojekte ausgeben. Die Malware prüft zunächst, ob sie in einer virtuellen Maschine oder einer anderen Umgebung ausgeführt wird, die Sicherheitsforscher häufig zur Analyse verdächtiger Software verwenden.
Außerdem sucht sie nach Systemen mit weniger als 2 GB RAM, cloudbasierten Umgebungen und Geräten ohne physische GPU. Wird eine dieser Bedingungen erkannt, beendet die Malware ihre Ausführung.
Wenn der Computer diese Prüfungen besteht, versucht die Malware, ihren Installationspfad zu den Ausschlüssen von Microsoft Defender hinzuzufügen, wodurch die Sicherheitssoftware möglicherweise daran gehindert wird, Dateien an diesem Speicherort zu scannen.
Der Loader führt dann eine weitere ausführbare Datei aus, die Tom's Hardware zufolge durch einen kommerziellen Software-Packer geschützt ist. Tom's Hardware zufolge gilt diese ausführbare Datei als ein Infostealer, der sensible Informationen von infizierten Computern sammeln soll.
Die Malware kompromittiert nicht nur ihre Opfer, sondern versucht auch, ihre Spuren zu verwischen, was die Analyse auf einem infizierten Gerät erschwert.
Reputation ist nicht gleich Sicherheit
Der Ruf von GitHub als vertrauenswürdige Plattform für Open-Source-Software bedeutet nicht, dass jedes dort gehostete Projekt sicher ist.
Diese Annahme machen sich Cyberkriminelle zunutze, indem sie schädliche Nachahmungen legitimer Projekte erstellen und darauf setzen, dass Nutzer bekannte Projektnamen wiedererkennen, ohne sich die Zeit zu nehmen, den Herausgeber der Software zu überprüfen.
Diese Unterscheidung ist wichtig, denn die Plattform, auf der eine Anwendung gehostet wird, und der dafür verantwortliche Entwickler sind zwei verschiedene Dinge. Und dieses Problem beschränkt sich nicht auf GitHub: Auch schädliche Anwendungen haben Wege gefunden, die Sicherheitsprüfungen von Google Play und den Prüfprozess des Chrome Web Store für Erweiterungen zu umgehen.
Obwohl AnyPS5 inzwischen Nutzer gewarnt hat vor der schädlichen GitHub-Seite, die laut PCMag inzwischen offline ist, fallen ihr bereits Nutzer zum Opfer. Eines der Opfer meldete den Vorfall auf Reddit. Solche Fälle zeigen, dass Angreifer das Vertrauen ausnutzen können, das Nutzer in diese Plattformen setzen, um schädliche Software zu verbreiten, ohne zwangsläufig die ursprünglichen Entwickler zu kompromittieren.
Gamer sollten vorbeugende Maßnahmen ergreifen
Die Kampagne zielt speziell auf Menschen ab, die nach PS5-Emulatoren suchen, doch dieselben Methoden können jeden treffen, der Software aus unbekannten Repositories herunterlädt.
Vergewissern Sie sich vor der Installation eines Emulators oder einer anderen von der Community entwickelten Anwendung, dass der Download von der offiziellen Website des Projekts oder dem von den Entwicklern gepflegten GitHub-Konto stammt. Prüfen Sie, wem das Repository gehört, die Veröffentlichungshistorie und über die etablierten Kommunikationskanäle des Projekts verbreitete Links.
Seien Sie vorsichtig bei neu erstellten Repositories, die bekannte Projekte imitieren oder Downloads anbieten, die bei den ursprünglichen Entwicklern nicht verfügbar sind. Unerwartete Aufforderungen, den Virenschutz zu deaktivieren oder Sicherheitseinstellungen zu ändern, sind weitere Warnsignale.
Achten Sie außerdem auf Anwendungen, die übermäßige Berechtigungen anfordern oder versuchen, Sicherheitssoftware zu deaktivieren. Windows und Sicherheitssoftware auf dem neuesten Stand zu halten und Scans durchzuführen, kann dazu beitragen, das Infektionsrisiko zu verringern.
Wenn Sie bereits eine schädliche Datei heruntergeladen und ausgeführt haben, reicht es möglicherweise nicht aus, nur den Download zu löschen. Trennen Sie den betroffenen Computer vom Internet, führen Sie einen vollständigen Sicherheitsscan durch, prüfen Sie unerwartete Ausschlüsse in Defender und ändern Sie möglicherweise kompromittierte Passwörter von einem separaten, vertrauenswürdigen Gerät aus.
Weitere Meldungen: Cathay Pacific hat eine Datenschutzverletzung offengelegt bei dem Drittanbieter Amadeus, durch die Informationen zu etwa 53.000 Flugbuchungen offengelegt wurden.