PSA: Nep-PlayStation-5-emulators op GitHub verspreiden malware die de instellingen van Microsoft Defender wijzigt voordat ze een vermoedelijk gegevensdiefstalprogramma uitvoeren. De campagne maakt misbruik van de bereidheid van gamers om met niet-officiële software te experimenteren, waardoor kwaadaardige downloads lijken op een normaal onderdeel van dat proces. Het benadrukt hoe vertrouwde projectnamen het vertrouwen van gebruikers kunnen winnen voordat zij verifiëren wie de bestanden heeft geüpload.
Een opruimscript verwijdert de eigen bestanden van de malware, waardoor de inbraak moeilijker door de eigenaar van de pc kan worden ontdekt. Het Threat Intelligence-team van NordVPN ontdekte kwaadaardige repositories die zich voordeden als de KyttyPS5- en AnyPS5-emulators. Hun pagina’s bootsen legitieme emulatieprojecten na, waardoor gebruikers de indruk krijgen dat ze game‑software downloaden. NordVPN waarschuwt dat die downloads in plaats daarvan wachtwoorden en andere persoonlijke informatie in gevaar brengen.
De vermomming richt zich op een publiek dat gewend is te experimenteren met onvoltooide software. Gebruikers die op zoek zijn naar experimentele emulators verwachten mogelijk builds van GitHub te downloaden en bestanden uit te voeren die niet digitaal zijn ondertekend door een ontwikkelaar. Dat maakt het eigendom van een repository extra belangrijk: een herkenbare projectnaam zegt niets over wie de bestanden heeft geüpload.
“Emulatiefans zijn een perfect doelwit. Ze zijn gewend experimentele software van GitHub te downloaden en unsigned bestanden uit te voeren, dus niets daarvan voelt verdacht,” zei NordVPN-CTO Marijus Briedis.
De malware voegt eerst uitsluitingsregels toe aan Microsoft Defender, waardoor de antivirussoftware bepaalde bestanden of locaties tijdens scans overslaat. In plaats van meteen zijn hoofdpayload te starten, wijzigt de malware beveiligingsinstellingen die anders kunnen helpen de dreiging te detecteren.
Vervolgens zet het een uitvoerbaar bestand uit dat NordVPN beschouwt als een zogenaamde infostealer. Onderzoekers vermoeden dat het programma wachtwoorden en andere gevoelige informatie verzamelt, hoewel de volledige mogelijkheden nog onduidelijk zijn. Deze classificatie is een inschatting en geen exacte bevestiging van alles wat het uitvoerbare bestand kan doen.
Het opruimscript draait daarna en verwijdert de eigen bestanden van de malware, waardoor het lastiger wordt het compromis te traceren. Deze laatste stap helpt bewijsmateriaal van de aanval te verbergen nadat de vermoedelijke infostealer is ingezet, waardoor de gebruiker mogelijk weinig aanwijzingen over wat er gebeurd is overhoudt.
De bevindingen geven niet aan hoeveel mensen de kwaadaardige pakketten hebben gedownload of hoeveel computers zijn gecompromitteerd. Onderzoekers hebben de vermoedelijke infostealer ook niet bij naam geïdentificeerd.
De aanbevolen voorzorg is te verifiëren of een repository gelieerd is aan het ontwikkelteam van de emulator voordat bestanden worden gedownload. Gebruikers moeten de bron van de software controleren in plaats van alleen te vertrouwen op een bekende projectnaam of een pagina die er legitiem uitziet.
Recent aangemaakte lookalike-repositories en vermeldingen met weinig beoordelingen verdienen extra aandacht. Die details kunnen aanleiding geven tot nader onderzoek, maar de belangrijkste vraag is of de ontwikkelaars zelf gebruikers naar die repository verwijzen.
Antivirusbescherming moet tijdens downloads en installatie ingeschakeld blijven. Gebruikers mogen die bescherming niet uitschakelen alleen omdat software experimenteel of niet-ondertekend is.
Uiteindelijk maken deze kwaadaardige repositories gebruik van het verschil tussen het herkennen van een project en het verifiëren van de downloadbron. Bevestigen dat verband voordat u een bestand uitvoert is de belangrijkste maatregel tegen dit soort persoonsvervalsing.
