Les joueurs qui cherchent à jouer à des jeux PlayStation 5 sur leur PC sont ciblés par des logiciels malveillants déguisés en téléchargements d'émulateurs.
Les attaquants ont créé sur GitHub des dépôts ressemblants usurpant l'identité de projets d'émulateurs de PS5 tels qu'AnyPS5 et KytyPS5. Au lieu de fournir un logiciel d'émulation fonctionnel, les téléchargements lancent un processus d'infection en plusieurs étapes, conçu pour échapper à l'analyse de sécurité et déployer une charge utile probablement destinée au vol d'informations.
Cette campagne montre comment les attaquants peuvent exploiter des noms de projets familiers et des plateformes d'hébergement de logiciels considérées comme fiables pour diffuser des fichiers malveillants sans compromettre les développeurs d'origine.
D'un faux émulateur à un voleur d'informations : comment l'attaque s'est déroulée
Les chercheurs de NordVPN ont été les premiers à observer l'attaque, selon PCMag. Selon ce média, la menace cible des utilisateurs peu méfiants à la recherche d'émulateurs non officiels. NordVPN souligne, par l'intermédiaire de PCMag, que la cible était particulièrement bien choisie, car les personnes qui cherchent des émulateurs ont l'habitude d'installer des logiciels non officiels.
L'attaque commence lorsque les cibles téléchargent des fichiers ZIP depuis des dépôts GitHub usurpant l'identité de projets légitimes d'émulateurs de PS5. Le logiciel malveillant vérifie d'abord s'il s'exécute dans une machine virtuelle ou dans un autre environnement couramment utilisé par les chercheurs en sécurité pour analyser des logiciels suspects.
Il recherche également les systèmes disposant de moins de 2 Go de RAM, les environnements basés dans le cloud et les appareils dépourvus de GPU physique. Si l'une de ces conditions est détectée, le logiciel malveillant cesse de s'exécuter.
Si l'ordinateur passe ces vérifications, le logiciel malveillant tente d'ajouter son chemin d'installation aux exclusions de Microsoft Defender, ce qui pourrait empêcher le logiciel de sécurité d'analyser les fichiers situés à cet emplacement.
Le chargeur exécute ensuite un autre fichier exécutable, que Tom's Hardware décrit comme protégé par un logiciel de compression commercial. Selon Tom's Hardware, cet exécutable serait un voleur d'informations conçu pour collecter des informations sensibles sur les ordinateurs infectés.
Le logiciel malveillant ne se contente pas de compromettre ses victimes : il tente également de brouiller ses traces, ce qui complique l'analyse lorsqu'elle est effectuée depuis un appareil infecté.
La réputation n'est pas synonyme de sécurité
La réputation de GitHub, considéré comme un hébergement fiable pour les logiciels open source, ne signifie pas que tous les projets présents sur la plateforme sont sûrs.
Les cybercriminels exploitent cette supposition en créant des imitations malveillantes de projets légitimes, en comptant sur le fait que les utilisateurs reconnaîtront des noms de projets familiers sans prendre le temps de vérifier qui a publié le logiciel.
Cette distinction est importante, car la plateforme qui héberge une application et le développeur qui en est responsable sont deux choses différentes. Et ce problème ne se limite pas à GitHub : des applications malveillantes ont également réussi à contourner les contrôles de sécurité de Google Play et le processus d'examen des extensions du Chrome Web Store.
Bien qu'AnyPS5 ait depuis averti les utilisateurs de la page GitHub malveillante, qui serait désormais hors ligne selon PCMag, certains utilisateurs en sont déjà victimes, dont un qui a signalé l'incident sur Reddit. Ces cas montrent que les attaquants peuvent exploiter la confiance que les utilisateurs accordent à ces plateformes pour diffuser des logiciels malveillants sans nécessairement compromettre les développeurs d'origine.
Les joueurs doivent prendre des mesures préventives
La campagne cible spécifiquement les personnes à la recherche d'émulateurs de PS5, mais les mêmes tactiques peuvent toucher toute personne qui télécharge des logiciels depuis des dépôts inconnus.
Avant d'installer un émulateur ou une autre application développée par la communauté, vérifiez que le téléchargement provient du site officiel du projet ou du compte GitHub géré par le développeur. Vérifiez le propriétaire du dépôt, l'historique des versions et les liens partagés par les canaux de communication officiels du projet.
Méfiez-vous des dépôts récemment créés qui imitent des projets connus ou proposent des téléchargements indisponibles auprès des développeurs d'origine. Les demandes inattendues visant à désactiver la protection antivirus ou à modifier les paramètres de sécurité sont d'autres signes avant-coureurs.
Méfiez-vous également des applications qui demandent des autorisations excessives ou tentent de désactiver les logiciels de sécurité. Maintenir Windows et les logiciels de sécurité à jour et les laisser actifs peut contribuer à réduire le risque d'infection.
Si vous avez déjà téléchargé et exécuté un fichier malveillant, supprimer uniquement le téléchargement peut ne pas suffire. Déconnectez l'ordinateur concerné d'Internet, lancez une analyse de sécurité complète, vérifiez l'absence d'exclusions inattendues dans Defender et modifiez les mots de passe potentiellement compromis depuis un autre appareil de confiance.
Autres actualités : Cathay Pacific a révélé une fuite de données chez le fournisseur technologique tiers Amadeus, qui a exposé les informations d'environ 53 000 réservations de vols.