Репозитории на GitHub с вредоносным ПО маскируются под эмуляторы PlayStation 5, сообщила исследовательская группа NordVPN по анализу угроз. Поддельные версии AnyPS5 и KytyPS5 крадут пароли геймеров.
Вредоносный софт подписан самоподписанными сертификатами от вымышленных компаний, созданными в день сборки программы, что указывает на возможную автоматизацию кампании. Через две минуты после заражения скрипт очистки удаляет файлы вредоносного ПО с компьютера, не оставляя следов.
Поддельные репозитории перенаправляют пользователя на загрузку ZIP-файла с исполняемым файлом для Windows. Загрузчик проверяет, не работает ли он в среде для анализа вредоносных программ: если доступно менее 2 ГБ оперативной памяти, система запущена на виртуальной машине или облачном сервере либо нет физической видеокарты, он прекращает работу. На подходящем компьютере программа добавляет исключения в Microsoft Defender, чтобы антивирус не проверял её файлы, после чего запускает основную полезную нагрузку.
По оценке исследователей, это инфостилер — разновидность вредоносного ПО для кражи паролей и других конфиденциальных данных. Репозитории GitHub, задействованные в кампании, быстро меняются, и GitHub может быть не единственным источником распространения.
При подозрении на заражение специалисты советуют отключить компьютер от интернета, запустить полную антивирусную проверку и по возможности сменить пароли на отдельном устройстве.