In questo articolo Indice dei contenuti 2 sezioni
Chi cerca su GitHub un modo per far girare i giochi di PlayStation 5 sul computer rischia di portarsi a casa tutt’altro. Una campagna di malware sta prendendo di mira gli appassionati di emulatori PS5 con un trucco semplice ed efficace: repository fasulli costruiti per somigliare il più possibile a progetti autentici. Il team Threat Intelligence di NordVPN ha individuato pagine malevole che si spacciano per KytyPS5 e AnyPS5, due progetti reali legati alla console di Sony.
Al posto di un emulatore funzionante, i visitatori venivano indirizzati verso archivi ZIP che contenevano file eseguibili per Windows. Gli autori dell’attacco potrebbero aver fatto leva su due elementi precisi. Il primo è la reputazione di cui la piattaforma gode tra sviluppatori e hobbisti. Il secondo è l’abitudine diffusa a considerare normale che un software sperimentale di emulazione non abbia una firma digitale.
Come funziona l’infezione e perché è così difficile da scovare
Il meccanismo è piuttosto subdolo. Una volta avviato l’eseguibile, il programma effettua una serie di controlli sull’ambiente in cui si trova e poi aggiunge delle regole di esclusione a Microsoft Defender, l’antivirus integrato in Windows. In pratica queste regole dicono a Defender di ignorare determinati file o percorsi durante le scansioni, abbassando la protezione proprio dove servirebbe. Solo a quel punto entra in scena quello che i ricercatori ritengono essere un infostealer, cioè un software pensato per sottrarre password, credenziali e altre informazioni sensibili. NordVPN, va detto, non ha confermato pubblicamente l’intera portata dei dati raccolti.
I controlli iniziali non sono messi lì a caso. Possono impedire al codice di attivarsi su macchine virtuali, sistemi cloud o computer con meno di 2 GB di RAM, e anche i PC privi di una scheda grafica fisica potrebbero essere esclusi. È una scelta che complica parecchio il lavoro delle analisi di sicurezza automatizzate. C’è poi un ultimo passaggio. Uno script di pulizia cancella i file del programma malevolo, potenzialmente entro due minuti dall’esecuzione. Quando la vittima si accorge che qualcosa non va, le tracce potrebbero essere già sparite.
A rendere il tutto più credibile ci pensavano dei certificati autofirmati accompagnati da nomi di editori inventati. Un certificato di questo tipo viene creato direttamente da chi sferra l’attacco, senza alcuna verifica da parte di un’autorità riconosciuta. Agli occhi di un utente poco attento, però, può bastare per dare un’aria rispettabile all’eseguibile ancora prima che parta una sola riga di codice.
Repository rimossi ma il pericolo resta, come difendersi
Stando ai ricercatori di NordVPN, GitHub ha già eliminato alcuni dei repository incriminati. Il problema è che campagne simili possono ricomparire in fretta, sulla stessa piattaforma o su altri servizi di hosting del codice, con nuovi progetti pubblicati sotto nomi diversi.
Prima di scaricare qualsiasi software di emulazione conviene quindi accertarsi che il repository appartenga davvero allo sviluppatore. Vale la pena controllare la data di creazione dell’account, verificare che abbia una storia di attività costante nel tempo e confrontare il link di download con quelli presenti sui canali ufficiali del progetto. Qualunque collegamento di terze parti andrebbe trattato con sospetto. E soprattutto l’antivirus non va mai disattivato durante l’installazione, anche quando le istruzioni allegate al file lo chiedono espressamente. Una richiesta del genere è un campanello d’allarme serio e merita una verifica indipendente.
Chi avesse già avviato un file proveniente da un repository sospetto dovrebbe scollegare subito il computer da internet ed eseguire una scansione completa del sistema. Le password vanno poi cambiate da un dispositivo diverso e affidabile, prima di ricollegare la macchina compromessa a qualsiasi account.
Fonte: TecnoAndroid