GitHub xuất hiện trình giả lập PS5 giả mạo, phát tán mã độc đánh cắp mật khẩu game thủ

Các kho lưu trữ GitHub giả mạo hai dự án giả lập PlayStation 5 nổi tiếng đang bị lợi dụng để phát tán mã độc đánh cắp thông tin. Đáng chú ý, phần mềm độc hại có khả năng né tránh môi trường kiểm tra bảo mật, vô hiệu hóa một phần cơ chế quét của Microsoft Defender và tự xóa dấu vết chỉ sau khoảng hai phút.

Giả mạo trình giả lập PS5 để phát tán mã độc

Theo báo cáo từ nhóm Tình báo Mối đe dọa của NordVPN được chia sẻ với Tom's Hardware, các kho lưu trữ GitHub độc hại đang giả danh hai dự án liên quan đến giả lập PlayStation 5 là AnyPS5 và Kyttyps5 nhằm dụ người dùng tải xuống phần mềm độc hại.

AnyPS5 là dự án hướng đến việc cho phép trò chơi PS5 chạy như ứng dụng gốc trên Windows và Linux, trong khi Kyttyps5 là một trình giả lập PS5 dành cho PC. Cả hai đều thu hút sự quan tâm của cộng đồng nhờ những tiến triển trong nỗ lực đưa trò chơi từ hệ máy console của Sony lên máy tính cá nhân.

Kẻ tấn công lợi dụng tên tuổi của các dự án này để tạo những kho lưu trữ giả mạo trên GitHub. Người dùng tải nhầm từ các nguồn độc hại có thể nhận được tệp ZIP chứa chương trình thực thi dành cho Windows thay vì công cụ giả lập mà họ mong muốn.

Các kho lưu trữ được sử dụng trong chiến dịch này thay đổi khá nhanh, khiến việc nhận diện và theo dõi trở nên khó khăn. Vì vậy, GitHub không nhất thiết là nguồn phát tán duy nhất của mã độc.

Một chi tiết đáng chú ý khác là chứng chỉ được sử dụng để ký tệp độc hại là chứng chỉ tự ký, mang tên một công ty giả mạo và có ngày tạo trùng với thời điểm phần mềm độc hại được tạo ra. Theo các nhà nghiên cứu, dấu hiệu này cho thấy quá trình phát triển hoặc phát tán mã độc có thể đã được tự động hóa.

Mã độc né tránh phân tích và can thiệp Microsoft Defender

Sau khi được khởi chạy, tệp thực thi độc hại giải nén một ứng dụng ẩn rồi kích hoạt trình tải mã độc nhiều giai đoạn. Trước khi thực hiện hành vi chính, chương trình kiểm tra môi trường đang chạy để xác định liệu máy tính có phải thiết bị thực của người dùng hay chỉ là môi trường phân tích bảo mật.

Quá trình kiểm tra bao gồm dung lượng RAM, dấu hiệu máy ảo, môi trường máy chủ đám mây và sự hiện diện của card đồ họa vật lý. Nếu phát hiện những dấu hiệu mà kẻ tấn công cho là không phù hợp, chương trình sẽ tự thoát mà không thực hiện bước lây nhiễm tiếp theo.

Nếu hệ thống vượt qua các bước kiểm tra, mã độc sẽ tìm cách thêm các mục loại trừ vào Microsoft Defender nhằm hạn chế khả năng bị phát hiện trong quá trình quét. Sau đó, tải trọng được giải mã và thực thi trên máy tính mục tiêu.

Theo báo cáo, phần mềm độc hại thuộc nhóm infostealer — loại mã độc chuyên thu thập thông tin nhạy cảm như mật khẩu và dữ liệu cá nhân được lưu trữ trên thiết bị. Những thông tin bị đánh cắp có thể khiến tài khoản game, email và các dịch vụ trực tuyến khác gặp rủi ro.

Đáng lo ngại hơn, một tập lệnh dọn dẹp được cho là sẽ chạy chỉ khoảng hai phút sau khi máy tính bị lây nhiễm, xóa các tệp liên quan đến mã độc khỏi thiết bị. Điều này có thể khiến người dùng khó phát hiện sự cố nếu chỉ kiểm tra những tệp còn lại trên ổ đĩa.

Tuy nhiên, việc tệp độc hại tự xóa không đồng nghĩa mọi dấu vết đều biến mất. Những thay đổi đối với hệ thống, dữ liệu bị đánh cắp hoặc thông tin mà mã độc đã gửi ra ngoài vẫn có thể tồn tại.

Cách tải trình giả lập an toàn và xử lý khi nghi nhiễm mã độc

Để hạn chế nguy cơ, người dùng nên kiểm tra kỹ nguồn tải xuống trước khi cài đặt các công cụ giả lập hoặc phần mềm miễn phí. Với những dự án được lưu trữ trên GitHub, hãy đối chiếu tên tài khoản sở hữu kho lưu trữ với trang chính thức của dự án, đồng thời kiểm tra các liên kết tải xuống được nhóm phát triển công bố.

Không nên mặc định rằng một kho lưu trữ an toàn chỉ vì nó xuất hiện trên GitHub hoặc sử dụng tên, logo và nội dung giống dự án thật. Những yếu tố như thời điểm tạo tài khoản, lịch sử hoạt động, thông tin phát hành và nguồn gốc tệp tải xuống có thể giúp phát hiện dấu hiệu bất thường, dù không yếu tố nào đủ để bảo đảm an toàn tuyệt đối.

Nếu đã tải xuống một tệp đáng ngờ, người dùng nên tránh tiếp tục mở hoặc thực thi tệp đó. Trong trường hợp nghi ngờ mã độc đã chạy, hãy ngắt kết nối máy tính khỏi Internet, thực hiện kiểm tra bảo mật bằng công cụ đáng tin cậy và cân nhắc nhờ chuyên gia xử lý nếu phát hiện Microsoft Defender bị thay đổi cấu hình. Người dùng cũng nên đổi mật khẩu từ một thiết bị sạch, ưu tiên bảo vệ email và các tài khoản quan trọng, đồng thời thu hồi những phiên đăng nhập đáng ngờ.

Sự việc cũng cho thấy sức hút ngày càng lớn của cộng đồng giả lập có thể bị tội phạm mạng lợi dụng. Khi các dự án tìm cách đưa trò chơi console lên PC thu hút thêm sự chú ý, những bản tải xuống giả mạo có thể trở thành mồi nhử hiệu quả đối với người dùng muốn trải nghiệm các tựa game chưa có phiên bản máy tính.

Đặc biệt, sự quan tâm dành cho GTA VI trước thời điểm phát hành trên console có thể khiến nhiều người tìm kiếm những công cụ liên quan đến giả lập PS5. Trong bối cảnh đó, việc kiểm tra nguồn tải xuống và tránh chạy các tệp thực thi không rõ nguồn gốc vẫn là biện pháp quan trọng để bảo vệ thiết bị cũng như tài khoản cá nhân.