Falsi emulatori PS5 su GitHub nascondono malware che aggira Defender

🛡️ Executive Summary

• Una campagna individuata da NordVPN utilizza falsi repository GitHub per imitare i progetti di emulazione PS5 AnyPS5 e KytyPS5.
• Il malware controlla l’ambiente Windows, aggiunge esclusioni a Microsoft Defender e avvia un payload sospettato di essere un infostealer.
• Dopo circa due minuti uno script elimina i file utilizzati nell’infezione. La ricerca non documenta pubblicamente il numero delle vittime.

Falsi emulatori PS5 distribuiti attraverso GitHub stanno esponendo gli utenti Windows a una campagna malware progettata per sottrarre credenziali e informazioni personali. L’allarme arriva dal team Threat Intelligence di NordVPN, che ha individuato repository contraffatti capaci di imitare progetti conosciuti come AnyPS5 e KytyPS5, sfruttando l’interesse degli appassionati per l’esecuzione dei giochi PlayStation 5 su computer. Il software malevolo viene distribuito attraverso archivi ZIP, controlla le caratteristiche del dispositivo, modifica le esclusioni di Microsoft Defender e avvia un componente finale ritenuto un possibile infostealer. Dopo circa due minuti, uno script cancella i file impiegati nell’operazione, rendendo più difficile individuare l’infezione. I repository originali dei progetti non risultano compromessi: la campagna descritta sfrutta copie fraudolente realizzate per ingannare gli utenti.

AnyPS5 e KytyPS5 imitati su GitHub: come nasce la trappola per i giocatori

La campagna individuata da NordVPN prende di mira una categoria di utenti abituata a cercare software sperimentale, strumenti open source e versioni preliminari di programmi distribuiti attraverso repository pubblici. L’analisiidentifica pagine GitHub che utilizzano i nomi di AnyPS5 e KytyPS5 per presentare file apparentemente collegati allo sviluppo di emulatori PlayStation 5. Il primo progetto è in realtà un sistema di conversione che punta a eseguire software PS5 come applicazioni native su Windows e Linux, mentre il secondo è un progetto open source dedicato all’emulazione della console. Entrambi costituiscono riferimenti riconoscibili per la comunità, ma la loro notorietà viene utilizzata dagli attaccanti per conferire credibilità a repository gestiti da soggetti estranei agli sviluppatori autentici. L’utente viene indirizzato verso il download di un archivio ZIP contenente un eseguibile Windows, presentato come installer o programma necessario all’esecuzione dei giochi. La presenza del file su GitHub può indurre a sottovalutare il rischio, soprattutto quando la pagina riproduce descrizioni e materiali simili a quelli dei progetti legittimi. Secondo i ricercatori, i repository utilizzati nella campagna vengono sostituiti frequentemente, complicando la creazione di elenchi statici di indirizzi sospetti. È un modello già osservato nella diffusione di 292 repository GitHub falsi utilizzati per distribuire BoryptGrab e sottrarre credenziali e wallet, dove l’apparenza di un normale progetto software diventava il principale strumento di persuasione.

Leggi anche: FakeGit riattiva 17.610 repository GitHub senza crearne di nuovi

Il malware controlla RAM e GPU prima di modificare Microsoft Defender

L’eseguibile malevolo attiva un loader a più stadi, progettato per verificare l’ambiente prima di procedere con l’installazione del componente finale. La ricerca descrive controlli sulla quantità di memoria disponibile, sulla presenza di una scheda grafica fisica e sulle caratteristiche del sistema operativo. Se il programma rileva meno di 2 GB di RAM, una macchina virtuale, un server cloud o l’assenza di una GPU reale, può terminare senza eseguire ulteriori operazioni. Questi controlli servono a ridurre la probabilità che il malware venga osservato nei sistemi automatizzati utilizzati dai ricercatori per analizzare file sospetti. Non si tratta di una protezione assoluta contro l’analisi dinamica, ma di una tecnica di evasione che permette di concentrare l’attività sui computer considerati più simili a quelli delle potenziali vittime. Quando il dispositivo supera le verifiche, il programma modifica le configurazioni di Microsoft Defender, aggiungendo esclusioni per impedire che determinate directory o componenti vengano sottoposti alle normali scansioni antivirus. È una fase particolarmente importante perché tenta di indebolire un controllo di sicurezza già presente sul sistema, senza richiedere necessariamente all’utente di disattivarlo manualmente. Il loader procede quindi alla decifratura di un secondo eseguibile, protetto attraverso un packer commerciale. NordVPN ritiene che questo componente sia un infostealer destinato alla raccolta di password e informazioni personali, ma la documentazione resa pubblica non identifica la famiglia malware né dimostra integralmente quali dati vengano effettivamente sottratti. La tecnica presenta affinità con il caso Rapuncel, malware distribuito attraverso falsi LastPass su GitHub per indebolire antivirus ed EDR. I due casi non devono essere attribuiti allo stesso gruppo criminale: il collegamento riguarda l’utilizzo di software contraffatto e la manipolazione delle difese Windows.

File cancellati dopo due minuti: la catena di infezione individuata da NordVPN

Uno degli elementi più rilevanti dell’analisi riguarda il comportamento del malware dopo l’avvio del payload. Secondo i ricercatori, circa due minuti dopo l’infezione viene eseguito uno script di pulizia che elimina i file utilizzati durante l’operazione, riducendo gli elementi immediatamente visibili sul disco. Il meccanismo può indurre l’utente a credere che il software non abbia funzionato o che non sia accaduto nulla, mentre il componente malevolo potrebbe avere già svolto parte delle proprie attività. La rimozione degli eseguibili, tuttavia, non significa necessariamente che tutte le tracce siano scomparse o che una compromissione sia impossibile da ricostruire attraverso registri, telemetria e strumenti di analisi forense. NordVPN ha esaminato due campioni compilati a un giorno di distanza, a partire dal 10 ottobre 2026, entrambi caratterizzati dall’utilizzo di certificati autofirmati associati a denominazioni aziendali fittizie. La coincidenza fra le date di compilazione e quelle di emissione dei certificati suggerisce un processo di preparazione ripetibile, potenzialmente automatizzato. La ricerca riferisce inoltre di avere ricostruito alcuni elementi dell’infrastruttura utilizzata dagli operatori, ma nei resoconti pubblici non sono disponibili indicatori tecnici completi che permettano di identificare ogni variante della campagna. Non sono stati comunicati il numero dei computer compromessi, la quantità di credenziali sottratte o un elenco verificato delle vittime. È quindi corretto parlare di una distribuzione malevola documentata e di un payload sospettato di svolgere attività di furto, evitando di trasformare il rischio tecnico in una compromissione generalizzata degli utenti PlayStation.

Come distinguere i repository originali dalle copie malevole

La protezione più importante consiste nel verificare chi controlla realmente il repository prima di eseguire qualunque programma. Per AnyPS5 il progetto autentico è disponibile sul repository GitHub di boykopovar, mentre KytyPS5 mantiene il proprio progetto pubblico. L’identità del proprietario, la cronologia delle modifiche, la presenza di release coerenti con il codice sorgente e i collegamenti pubblicati dagli sviluppatori rappresentano elementi da controllare congiuntamente. La semplice somiglianza del nome non offre alcuna garanzia: un repository creato da poco può riprodurre descrizioni, immagini e istruzioni di installazione appartenenti a un progetto conosciuto. Particolare attenzione meritano i collegamenti che promettono download immediati attraverso file ZIP ospitati altrove e gli installer presentati come versioni ufficiali senza riferimenti verificabili. Nemmeno un certificato digitale è sufficiente a dimostrare l’affidabilità di un eseguibile, soprattutto quando è autofirmato e associato a un’identità non verificata. Gli utenti dovrebbero inoltre evitare di autorizzare eccezioni antivirus soltanto perché richieste da un programma scaricato online. GitHub è una piattaforma di distribuzione del codice, non una certificazione automatica della sicurezza di ogni progetto ospitato.

Continua con:

FakeGit avvelena GitHub mentre un falso Newtonsoft.Json manipola giochi online

Campagna malware usa GitHub e SourceForge per distribuire software malevolo

Cosa fare dopo aver installato un falso emulatore PS5

Chi ha eseguito un presunto emulatore proveniente da un repository sospetto dovrebbe considerare il computer potenzialmente compromesso, soprattutto se il programma non ha mostrato alcuna interfaccia oppure ha richiesto modifiche alle protezioni di Windows. La prima precauzione consiste nell’interrompere la connessione del dispositivo alla rete e avviare una verifica con strumenti di sicurezza aggiornati, controllando anche le esclusioni configurate in Microsoft Defender. La loro eventuale presenza può rappresentare un elemento di interesse investigativo, ma non dimostra da sola che il malware descritto da NordVPN sia stato eseguito. Se sul computer erano presenti credenziali salvate nel browser o sessioni autenticate, è prudente modificare le password da un altro dispositivo ritenuto sicuro, revocare le sessioni attive dei servizi più importanti e abilitare l’autenticazione a più fattori dove disponibile. Nei casi in cui emergano evidenze di esecuzione malevola, la sola cancellazione dell’archivio ZIP non garantisce il ripristino dell’affidabilità del sistema e può essere necessario un intervento più approfondito. La campagna dimostra come un software contraffatto possa trasformare la curiosità per l’emulazione PS5 in un rischio per gli account personali, sfruttando la reputazione di GitHub e dei progetti open source. I dati disponibili non indicano una compromissione dei repository autentici AnyPS5 e KytyPS5, ma mostrano un uso fraudolento delle loro identità. Il rischio principale non è quindi rappresentato dall’emulazione in sé, bensì dalla fiducia accordata a file eseguibili pubblicati da soggetti che imitano sviluppatori legittimi.