Por Canuto  

Repositorios de GitHub que imitaban herramientas de emulación de PS5 distribuyeron ejecutables con un cargador diseñado para ocultarse y desplegar un malware que, según investigadores citados por Tom’s Hardware, roba contraseñas y otros datos sensibles.
***

  • Los repositorios fraudulentos se hacían pasar por AnyPS5 y KytyPS5 y ofrecían un archivo ZIP con un ejecutable para Windows.
  • El cargador revisaba el equipo, intentaba añadir exclusiones en Microsoft Defender y desplegaba una carga que los investigadores creen que es un infostealer.
  • El informe recomienda comprobar que el repositorio pertenezca al equipo oficial y, ante una descarga sospechosa, desconectar el equipo, analizarlo y cambiar contraseñas desde otro dispositivo.

Falsos emuladores de PS5 en GitHub buscan robar contraseñas con malware

Repositorios que suplantaban dos herramientas vinculadas con la emulación de PlayStation 5 fueron identificados como vehículos para distribuir malware dirigido a los equipos de los jugadores. Un informe del equipo de inteligencia de amenazas de NordVPN, compartido con Tom’s Hardware, describe una cadena de infección que intenta evadir entornos de análisis y desplegar un programa que los investigadores consideran un posible ladrón de contraseñas y otros datos sensibles.

Herramientas conocidas como señuelo

La campaña se apoyó en el interés de la comunidad por AnyPS5 y KytyPS5, dos proyectos con propósitos distintos que están disponibles para descarga mediante repositorios de GitHub. AnyPS5 se presenta como una capa de portabilidad para ejecutar juegos de PS5 como aplicaciones nativas en Windows y Linux, mientras que KytyPS5 es un emulador que busca ejecutar juegos de la consola en una PC.

Los repositorios maliciosos no eran los proyectos legítimos, sino imitaciones que utilizaban sus nombres para atraer a quienes buscaban esas herramientas. Según el reporte, desde esas páginas los usuarios llegaban a un archivo ZIP que contenía un ejecutable de Windows, una presentación capaz de hacer que una descarga pareciera relacionada con el programa que estaban intentando obtener.

El informe advierte que los repositorios usados en la campaña rotaban con rapidez, por lo que una búsqueda o un enlace que conduzca a una página con el nombre adecuado no basta para demostrar que el contenido sea auténtico. También señala que GitHub podría no ser el único canal utilizado para distribuir las descargas, aunque la información compartida no identifica otras plataformas concretas.

La distinción entre una herramienta legítima y una copia fraudulenta es central en este caso: el señuelo no depende de que los usuarios busquen un programa desconocido, sino de que reconozcan nombres presentes en la comunidad de emulación. Esa familiaridad puede reducir la cautela al descargar, pero el nombre visible por sí solo no confirma quién controla el repositorio ni qué contiene el archivo comprimido.

Una cadena de infección diseñada para esconderse

Al abrir el ejecutable, este extrae una aplicación oculta antes de iniciar un cargador de varias etapas. El cargador no despliega la carga de inmediato: primero comprueba características del equipo para decidir si continúa, una conducta que, de acuerdo con el informe, puede ayudarle a evitar sistemas de análisis o máquinas de investigadores.

Entre las comprobaciones descritas figura si hay menos de 2 GB de RAM disponible, además de la presencia de una máquina virtual, un servidor basado en la nube o la ausencia de una GPU física. Si detecta cualquiera de esas condiciones, el proceso termina silenciosamente; si considera que el equipo es un objetivo real, avanza a las siguientes etapas de la infección.

El cargador también intenta añadir reglas de exclusión a Microsoft Defender para evitar que sus componentes sean examinados o identificados durante un análisis antivirus. Después descifra y ejecuta la carga útil, de modo que la infección combina comprobaciones del entorno, cambios en la configuración de seguridad y el despliegue del programa final.

Los investigadores describen la carga como un ejecutable protegido por un empaquetador comercial y creen que se trata de un infostealer, una clase de malware orientada a robar contraseñas y otros datos sensibles que encuentre en el dispositivo. Esa valoración se presenta como una conclusión del análisis, no como una identificación confirmada de cada dato que el programa pudiera haber extraído de las computadoras afectadas.

Certificados y limpieza para dejar menos rastros

El reporte también encontró certificados autofirmados asociados con nombres de empresas falsos y creados el mismo día en que se construyó el malware. La coincidencia temporal y los nombres inventados llevaron a los investigadores a plantear que la campaña podría estar automatizada, aunque el informe no presenta ese indicio como prueba definitiva de cómo se generó cada archivo.

Otro componente busca reducir la posibilidad de que la víctima note lo ocurrido: según el reporte, alrededor de dos minutos después de la infección un script de limpieza elimina del equipo los archivos del malware. La eliminación puede dificultar que el usuario encuentre los componentes originales, pero no demuestra por sí sola que la actividad maliciosa haya terminado ni que el equipo esté libre de riesgos.

El uso de comprobaciones para apartarse de máquinas virtuales o entornos en la nube y la eliminación posterior de archivos apuntan a dos obstáculos distintos para el análisis: el cargador intenta no ejecutarse ante ciertos observadores, mientras el script procura retirar elementos visibles tras la infección. En conjunto, estas acciones complican la detección y la investigación, aunque el material disponible no permite afirmar cuántas personas descargaron los archivos ni cuántos equipos resultaron afectados.

La información publicada tampoco identifica a los responsables de la campaña ni ofrece cifras sobre pérdidas, víctimas o credenciales comprometidas. Por eso, el alcance debe describirse con cautela: el reporte documenta una técnica de distribución mediante repositorios fraudulentos y una carga que los investigadores consideran un infostealer, pero no cuantifica el impacto real.

Cómo reducir el riesgo al descargar emuladores

Para quienes buscan AnyPS5 o KytyPS5, el equipo de NordVPN recomienda comprobar que el repositorio pertenezca al equipo oficial del proyecto antes de descargar archivos. Conviene revisar quién es el propietario, desconfiar de enlaces que conduzcan a sitios de terceros y observar los metadatos, incluidas las fechas de creación del proyecto y de sus archivos.

Estas verificaciones no garantizan por sí solas que un archivo sea seguro, pero ayudan a detectar discrepancias entre una página legítima y una copia que aprovecha su nombre. En particular, revisar el destino de la descarga y la identidad de quien mantiene el repositorio permite ir más allá del título o la descripción que aparece en pantalla.

Si alguien ya accedió a una descarga sospechosa, el informe recomienda desconectar el ordenador de Internet y ejecutar un análisis antivirus completo. También aconseja cambiar las contraseñas desde otro dispositivo siempre que sea posible, una precaución relevante porque el malware descrito busca precisamente credenciales y otros datos sensibles.

El interés por la emulación podría crecer cuando GTA 6 llegue a las consolas, una posibilidad que Tom’s Hardware relaciona con el calendario previsto para el juego. La nota señala que su lanzamiento está fijado para el 19 de noviembre de 2026 y que será exclusivo de consolas al salir, mientras se espera una versión para PC a comienzos de 2027; ese contexto no cambia la recomendación principal: confirmar la procedencia del software antes de instalarlo.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados