Cảnh báo: Kho lưu trữ GitHub giả mạo KytyPS5 và AnyPS5 đang phát tán mã độc đánh cắp mật khẩu

Các kho lưu trữ GitHub giả mạo đóng vai trò là hai dự án PS5, gồm trình giả lập KytyPS5 và công cụ porting AnyPS5, đang bị lợi dụng để phát tán mã độc đánh cắp mật khẩu, theo nhóm Nghiên cứu Mối đe dọa của NordVPN. Như Tom's Hardware đã đưa tin, khách truy cập được hướng dẫn tải một tệp ZIP có tệp thực thi Windows dùng để giải nén một trình nạp ẩn nhiều giai đoạn.

Trình nạp này trước tiên kiểm tra xem nó có đang chạy trên một PC chơi game thực sự hay không, và sẽ tự thoát nếu hệ thống có ít hơn 2 GB RAM, không có GPU vật lý, hoặc trông giống như một máy chủ ảo hay đám mây. Nó dường như được thiết kế để né tránh các sandbox và nhà nghiên cứu bảo mật. Marijus Briedis, Giám đốc Công nghệ của NordVPN, cho biết:

"Người hâm mộ giả lập là mục tiêu hoàn hảo. Họ quen với việc tải phần mềm thử nghiệm từ GitHub và chạy các tệp chưa ký, vì vậy không có gì trong số này cảm thấy đáng ngờ. Nhưng đây không phải là một trình giả lập. Nó đánh cắp dữ liệu của bạn, ẩn nấp khỏi trình diệt virus và xóa sạch dấu vết trước khi bạn nhận ra có điều gì đó bất ổn."

Trên một cỗ máy vượt qua các bài kiểm tra kể trên, mã độc sẽ thêm các quy tắc ngoại lệ của Microsoft Defender, sau đó giải mã và chạy một payload đã đóng gói mà NordVPN tin rằng là một phần mềm đánh cắp thông tin (infostealer). Một tập lệnh dọn dẹp sẽ xóa sạch các tệp sau đó khoảng hai phút. Các chứng chỉ tự ký của nó mang tên công ty giả và được tạo cùng ngày mã độc được xây dựng, vì vậy chiến dịch này có thể đã được tự động hóa.

Mối quan tâm đến việc giả lập PS5 đã tăng lên kể từ khi Sony bắt đầu rút lui khỏi các bản port PC của các trò chơi đơn của họ, và KytyPS5 đã chạy phiên bản PS5 của GTA 5 ở tốc độ lên tới 60 FPS, vì vậy mồi nhử đã được chọn rất kỹ. Thủ thuật với Windows Defender cũng đã xuất hiện trước đó, trong một bản dựng giả mạo bị rò rỉ của GTA 6. Độc giả nên xác nhận kho lưu trữ thuộc về nhà phát triển của dự án, kiểm tra ngày tạo và tránh các liên kết tải xuống của bên thứ ba. Bất kỳ ai đã chạy một trong những tệp này nên ngắt kết nối mạng, chạy quét toàn diện và thay đổi mật khẩu bằng một thiết bị khác.