Эксперты по кибербезопасности NordVPN предупредили о новой вредоносной кампании, нацеленной на пользователей, интересующихся эмуляцией PlayStation 5 на компьютерах. Злоумышленники создают поддельные репозитории GitHub, выдавая их за проекты AnyPS5 и Kyttyps5, после чего предлагают скачать ZIP-архив с исполняемым файлом для Windows.
После запуска вредоносная программа проверяет компьютер на наличие признаков виртуальной машины или исследовательской среды. В частности, она анализирует объём оперативной памяти, наличие физического графического процессора и особенности системы. Если условия кажутся подозрительными, программа прекращает работу. В противном случае она пытается добавить исключения в Microsoft Defender, чтобы избежать обнаружения, а затем запускает скрытую полезную нагрузку.
По предварительным данным исследователей, эта нагрузка представляет собой инфостилер — разновидность вредоносного ПО, предназначенную для кражи паролей и другой конфиденциальной информации. Примечательно, что примерно через две минуты после заражения специальный скрипт удаляет файлы вредоносной программы, затрудняя последующий анализ атаки. Для маскировки злоумышленники также используют самоподписанные цифровые сертификаты с вымышленными названиями компаний.
Специалисты отмечают, что мошеннические репозитории постоянно меняются, поэтому пользователям рекомендуют особенно внимательно проверять источники загрузки. Важно убедиться, что страница действительно принадлежит разработчикам проекта, а ссылки не ведут на подозрительные сторонние ресурсы. Если вредоносный файл уже был запущен, следует отключить компьютер от интернета, провести антивирусную проверку и сменить важные пароли с другого, заведомо безопасного устройства.
