Repositórios falsos de emuladores de PS5 no GitHub escondem malware que rouba senhas

Repositórios falsos no GitHub estão se passando por AnyPS5 e KytyPS5, dois dos projetos open-source mais acompanhados por quem torce para ver jogos de PS5 rodando em PC. Em vez de código legítimo, as vítimas recebem malware capaz de desativar o Microsoft Defender, roubar senhas e apagar todos os rastros da infecção em cerca de dois minutos. A descoberta é da equipe de inteligência de ameaças da NordVPN.

O AnyPS5 converte executáveis de PS5 em aplicações nativas para Windows e Linux, enquanto o KytyPS5 adota uma abordagem de emulação. Ambos são projetos de código aberto com bases de usuários ativas e genuinamente curiosas, o que os torna alvos ideais para esse tipo de ataque: quem busca esses repositórios já está disposto a baixar e executar código experimental. É exatamente esse perfil comportamental que os atacantes estão explorando.

Evasão técnica de quem sabe o que está fazendo

O malware não é amador. Antes de executar qualquer carga, ele verifica o ambiente do sistema: quantidade de memória disponível, status de virtualização e presença de uma GPU física. Sistemas com menos de 2 GB de RAM fazem o processo se encerrar imediatamente, uma técnica clássica de evasão para evitar análise em ambientes controlados. Em máquinas consideradas legítimas, o malware adiciona regras de exclusão ao Microsoft Defender antes de descriptografar e executar o payload final, que os pesquisadores classificam como um provável infostealer voltado para coleta de senhas e dados sensíveis. Aproximadamente dois minutos após a execução, um script de limpeza apaga os arquivos do malware, dificultando qualquer análise posterior.

A NordVPN também identificou certificados autoassinados com nomes de empresas fictícias, criados no mesmo dia em que os executáveis maliciosos foram gerados, o que aponta para um processo de distribuição automatizado. Os repositórios fraudulentos no GitHub ainda estão sendo rotacionados ativamente, tornando o rastreamento de links individuais uma tarefa quase inviável.

Como identificar o repositório correto

O repositório legítimo do AnyPS5 é mantido pelo usuário boykopovar. O repositório oficial do KytyPS5 pertence à organização de mesmo nome, KytyPS5, no GitHub. Qualquer outra fonte deve ser tratada com desconfiança total. Vale o protocolo de sempre: verifique o dono do repositório, o histórico de commits, a data de criação da conta e se há sinais de comunidade real ao redor do projeto, como discussões com histórico.

Esse tipo de ataque é um lembrete de que quanto mais visibilidade um projeto open-source ganha na mídia especializada, mais rapidamente aparece uma cópia maliciosa pronta para capturar os usuários menos atentos. 

Fonte: Videocardz