Repositorios falsos en GitHub que imitan herramientas relacionadas con juegos de PlayStation 5 distribuyen archivos maliciosos para Windows, según el equipo de inteligencia de amenazas de NordVPN. La empresa sospecha que uno de sus componentes está diseñado para robar contraseñas y otros datos, aunque no ha identificado públicamente todas sus capacidades ni la cantidad de equipos afectados.
Los señuelos utilizan los nombres AnyPS5 y "Kyttyps5", de acuerdo con un comunicado de la compañía. La investigación describe páginas que se hacen pasar por proyectos conocidos; no afirma que los repositorios originales hayan sido comprometidos ni que el malware infecte la consola PS5.
Los visitantes de esas páginas reciben un archivo ZIP con un ejecutable para Windows, informó The IT Nerd al describir el análisis de NordVPN. Los repositorios utilizados para distribuirlo cambian con rapidez, por lo que una dirección sospechosa puede desaparecer y ser sustituida por otra.
Cómo intenta ocultarse el programa
Una vez ejecutado, el archivo comprueba el entorno en el que se encuentra. Si detecta ciertas condiciones asociadas con equipos de análisis, puede detenerse. Si continúa, añade exclusiones a Microsoft Defender para que el antivirus omita carpetas en las que opera, según los investigadores.
Después ejecuta una carga que NordVPN considera un posible infostealer, un tipo de programa diseñado para obtener contraseñas u otra información sensible. La empresa no ha identificado públicamente esa carga por nombre. TechSpot señala que tampoco se conoce cuántas personas descargaron los paquetes ni cuántos equipos quedaron comprometidos.
El análisis también describe una rutina que elimina archivos del propio malware aproximadamente dos minutos después de la infección. Eso puede dificultar la detección, pero borrar esos archivos no demuestra que la computadora haya quedado limpia ni que no se haya expuesto información.
Una firma visible tampoco garantiza que el archivo sea seguro
Las dos muestras que examinó NordVPN estaban firmadas con certificados autofirmados que usaban nombres de empresas falsos, según el análisis publicado por The IT Nerd. En estos casos, por tanto, no se trataba simplemente de archivos sin firma.
Una firma visible no basta para demostrar que una descarga proviene del equipo legítimo. Al mismo tiempo, un programa sin firma no es necesariamente malicioso. Lo relevante es comprobar quién distribuye el archivo y si el equipo del proyecto dirige a esa página.
En declaraciones recogidas por TechSpot, Marijus Briedis, director de tecnología de NordVPN, explicó que los aficionados a la emulación suelen probar software experimental de GitHub y ejecutar archivos sin firmar, una costumbre que puede hacer menos evidente el engaño.
Antes de descargar, conviene revisar quién administra el repositorio y desconfiar de una instalación que pida desactivar el antivirus o añadir una exclusión. Que una página esté alojada en GitHub o use un nombre conocido no garantiza que pertenezca a los desarrolladores auténticos.
Qué hacer si ya ejecutaste un archivo sospechoso
NordVPN recomienda desconectar la computadora de internet, cambiar las contraseñas desde otro dispositivo y realizar un análisis antivirus completo. Para reducir el riesgo, las medidas pueden empezar por las cuentas más importantes:
- Desde un dispositivo de confianza, cambia las contraseñas que podrían estar expuestas, empezando por el correo y las cuentas que permiten recuperar el acceso a otros servicios. Revisa las sesiones o dispositivos conectados y cierra los que no reconozcas.
- Revisa las exclusiones de Microsoft Defender y ejecuta un análisis completo. Si el equipo pertenece a una empresa, consulta al área de tecnología antes de modificar su configuración.
- Si necesitas una revisión adicional, Microsoft ofrece un examen sin conexión que reinicia la computadora y analiza el equipo antes de cargar Windows. No vuelvas a usar el equipo para iniciar sesión hasta resolver la sospecha de infección.
Un resultado sin detecciones tampoco confirma que ningún dato haya salido del equipo. Si persisten las alertas o no puedes verificar que la amenaza se eliminó, busca ayuda especializada.
