NordVPN ha identificado una campaña de distribución de malware mediante repositorios falsos de GitHub que suplantan a los proyectos KytyPS5 y AnyPS5. Los atacantes aprovechan el interés por ejecutar videojuegos de PlayStation 5 en PC para distribuir archivos maliciosos que modifican las exclusiones de Microsoft Defender y ejecutan un programa potencialmente destinado al robo de contraseñas.
La investigación, compartida con Tom’s Hardware, describe un sistema de infección dividido en varias fases que comprueba las características del ordenador antes de activarse. El malware también elimina sus propios archivos aproximadamente dos minutos después de ejecutarse, dificultando su identificación. Por ahora, no se ha confirmado cuántos usuarios han resultado afectados ni el alcance real del posible robo de información.
KytyPS5 y AnyPS5 son utilizados para distribuir ejecutables maliciosos
La campaña suplanta a dos proyectos legítimos relacionados con la ejecución de videojuegos de PS5 en ordenadores. KytyPS5 es un emulador en desarrollo, mientras que AnyPS5 utiliza una capa de portabilidad para adaptar ejecutables de la consola a Windows y Linux, sin recurrir al mismo procedimiento de emulación tradicional.
Los responsables crean repositorios que imitan la apariencia y los nombres de estos proyectos, dirigiendo a los visitantes hacia archivos ZIP que contienen ejecutables para Windows. La amenaza no procede necesariamente de los desarrolladores originales, sino de copias fraudulentas alojadas bajo otras cuentas. Además, los investigadores señalan que los repositorios maliciosos cambian rápidamente, dificultando su seguimiento.
Esta estrategia aprovecha una particularidad del software experimental: los usuarios suelen descargar versiones preliminares y ejecutar aplicaciones sin una firma digital convencional. Por tanto, un instalador desconocido puede despertar menos sospechas que en otros programas. La apariencia de GitHub no garantiza la autenticidad del archivo, especialmente cuando el repositorio pertenece a un tercero.
El malware comprueba la RAM y la GPU antes de intentar evadir Microsoft Defender
Una vez ejecutado, el archivo descargado extrae una aplicación oculta y activa un cargador dividido en varias etapas. Antes de iniciar la infección, comprueba si el sistema presenta características habituales de los entornos de análisis utilizados por investigadores de seguridad. Este comportamiento busca evitar que el malware revele sus funciones cuando se ejecuta dentro de determinadas herramientas de detección.
Entre las comprobaciones identificadas se encuentran disponer de menos de 2 GB de RAM, carecer de una GPU física o ejecutarse dentro de una máquina virtual o un servidor en la nube. Si detecta alguna de estas condiciones, el programa finaliza silenciosamente. Sin embargo, superar estas comprobaciones no demuestra que el ordenador sea realmente un equipo gaming, sino que cumple los criterios establecidos por los atacantes.
Cuando encuentra un sistema compatible, el malware introduce reglas de exclusión en Microsoft Defender para impedir que determinadas ubicaciones o archivos sean examinados normalmente por el antivirus. Después, descifra y ejecuta una segunda carga protegida mediante un empaquetador comercial, dificultando su inspección antes de que llegue a ejecutarse.
Según los investigadores de NordVPN, esta carga podría corresponder a un infostealer, una categoría de malware especializada en recopilar credenciales y otros datos sensibles. Sin embargo, la identificación todavía se presenta como una evaluación técnica, por lo que no se han confirmado públicamente todas sus capacidades ni qué información consigue extraer de los sistemas afectados.
La modificación de Microsoft Defender introduce un riesgo adicional. Las exclusiones pueden impedir que el antivirus examine determinados archivos incluso después de finalizar la ejecución inicial. Esto significa que eliminar el programa descargado no garantiza recuperar la configuración de seguridad original, especialmente si las reglas introducidas por el atacante permanecen activas.
El programa borra sus archivos dos minutos después de la infección
La última fase utiliza un script de limpieza que elimina los archivos asociados al malware aproximadamente dos minutos después de ejecutarse. Este procedimiento reduce las posibilidades de encontrar el cargador original durante una inspección posterior y dificulta reconstruir qué procesos participaron en la infección.
Sin embargo, borrar los archivos utilizados durante el ataque no equivale necesariamente a eliminar todas sus consecuencias. Las contraseñas que pudieran haberse extraído no se recuperan mediante esa limpieza, mientras que las modificaciones del sistema pueden persistir. Por eso, la ausencia del ejecutable original no demuestra que el ordenador haya quedado libre de riesgos.
Los investigadores también encontraron certificados digitales autofirmados con nombres de empresas ficticias, generados el mismo día que los archivos maliciosos. Esta coincidencia sugiere que parte del proceso de preparación podría estar automatizado, aunque no confirma por sí sola la cantidad de repositorios creados. Además, una firma autofirmada no acredita que el programa proceda de una empresa legítima.
Cómo identificar los repositorios falsos y qué hacer si se ha ejecutado el malware
La principal recomendación es verificar que el repositorio pertenece realmente a los responsables de KytyPS5 o AnyPS5 antes de descargar cualquier archivo. Conviene comprobar el propietario de la cuenta, el historial de desarrollo, las versiones publicadas y los enlaces oficiales del proyecto, prestando especial atención a páginas recién creadas que redirigen a servicios externos.
Si el archivo sospechoso ya se ha ejecutado, NordVPN recomienda desconectar el ordenador de Internet y realizar un análisis completo de seguridad. También resulta conveniente revisar las exclusiones configuradas en Microsoft Defender, ya que podrían haber sido modificadas. La comprobación debería realizarse antes de volver a utilizar el equipo para acceder a servicios personales.
Las contraseñas potencialmente comprometidas deben cambiarse desde otro dispositivo de confianza, priorizando correo electrónico, cuentas principales y servicios que permitan recuperar el acceso a otras plataformas. También es recomendable cerrar las sesiones activas y revisar la autenticación en dos pasos. Si existen indicios de una infección persistente, puede ser necesaria una revisión más profunda del sistema.
La investigación demuestra que los nombres conocidos dentro de la comunidad de emulación pueden utilizarse para distribuir malware sin comprometer los proyectos originales. El principal peligro reside en ejecutar archivos cuya procedencia no se ha verificado, especialmente cuando incorporan mecanismos para eludir el antivirus. La autenticidad del repositorio y la integridad de sus descargas son fundamentales para evitar este tipo de ataques.
Vía: TechPowerUp
