Derrière la promesse de jouer aux jeux PS5 sur PC se cache un piège particulièrement sournois. De faux émulateurs repérés sur GitHub peuvent modifier les paramètres de Microsoft Defender et installer un logiciel soupçonné de voler des informations personnelles.
Des fichiers malveillants dissimulés sous l’apparence d’émulateurs PlayStation 5 circulent actuellement sur GitHub. Détectée par l’équipe de renseignement sur les menaces de NordVPN, cette campagne s’appuie sur de faux dépôts imitant des projets légitimes, notamment sous les noms de KyttyPS5 et AnyPS5, dans le but d’inciter les joueurs à télécharger un programme conçu pour voler vos données.
Une neutralisation préalable de Microsoft Defender
Le fonctionnement de ce logiciel repose sur une méthode en plusieurs étapes. Avant de lancer sa charge utile principale, le programme modifie les paramètres de l’antivirus intégré à Windows, Microsoft Defender en y ajoutant des règles d’exclusion. Ces modifications forcent l’outil de sécurité à ignorer des dossiers ou des fichiers spécifiques lors de ses analyses régulières.
Une fois ces exceptions appliquées, un fichier exécutable est déployé. D’après les analyses de NordVPN, il s’agirait d’un outil d’exfiltration de données, suspecté de récupérer des mots de passe et d’autres données personnelles. Les spécialistes précisent toutefois qu’il s’agit d’une évaluation et que l’ensemble des capacités réelles du programme n’est pas formellement établi, son nom exact n’ayant pas non plus été déterminé.
Pour limiter les risques de détection, un script de nettoyage s’exécute après l’infection. Ce script supprime les fichiers d’origine du logiciel malveillant, effaçant ainsi les traces directes de son passage sur l’ordinateur de la cible. Ainsi, le fichier est quasiment impossible à repérer.
L’exploitation des habitudes des amateurs d’émulation
La manœuvre cible particulièrement les utilisateurs habitués aux logiciels non officiels. Les personnes en quête d’émulateurs en cours de développement téléchargent régulièrement des versions expérimentales sur GitHub et exécutent des fichiers qui ne disposent pas d’une signature numérique officielle.
« Les amateurs d’émulation constituent une cible idéale. Ils ont l’habitude de télécharger des logiciels expérimentaux depuis GitHub et de lancer des fichiers non signés, de sorte que rien ne leur semble suspect » – Marijus Briedis, directeur technique de NordVPN.
À ce stade, les données recueillies ne permettent pas de savoir combien d’ordinateurs ont été infectés ni combien de fois ces fichiers ont été récupérés par les internautes.
Les précautions recommandées
Pour éviter ces pièges, il est préconisé de s’assurer du lien réel entre le dépôt GitHub et l’équipe officielle de développement du projet, sans se fier uniquement à l’apparence de la page ou au nom du programme. Les dépôts créés récemment ou ceux disposant de peu d’évaluations doivent susciter une vigilance particulière.
La base consiste à vérifier si les développeurs du projet renvoient directement vers le dépôt concerné. Enfin, les protections antivirus doivent être maintenues actives durant le téléchargement et l’installation, sans dérogation pour les fichiers non signés ou expérimentaux.
