✨︎ Resumen (TL;DR):
- NordVPN detectó repositorios falsos que imitan herramientas de PlayStation 5 y entregan archivos ZIP con ejecutables maliciosos para Windows.
- El programa añade exclusiones a Microsoft Defender y puede borrar archivos propios aproximadamente dos minutos después de la infección.
- La carga podría ser un infostealer, pero todavía no se conocen todas sus capacidades ni cuántas computadoras fueron afectadas.
El equipo de inteligencia de amenazas de NordVPN detectó repositorios falsos en GitHub que imitan herramientas relacionadas con PlayStation 5 y distribuyen un ZIP con un ejecutable malicioso para Windows. NordVPN sospecha que uno de sus componentes podría ser un infostealer diseñado para obtener contraseñas y otros datos sensibles, aunque no ha identificado públicamente todas sus capacidades ni cuántas computadoras fueron afectadas. La investigación no afirma que los repositorios legítimos hayan sido comprometidos ni que el malware infecte la consola PS5.
El señuelo usa nombres de proyectos de PS5
Los repositorios falsos aparecen con los nombres AnyPS5 y “Kyttyps5”. Las páginas imitan proyectos conocidos para quienes buscan emulación. Al visitarlas, la persona recibe un archivo ZIP con un ejecutable para Windows.
Las direcciones cambian con rapidez. Una página sospechosa puede desaparecer y dejar su lugar a otra, así que encontrar el nombre de un proyecto en GitHub no basta para verificar su autenticidad.
El engaño ocurre en la computadora, no en la PS5. NordVPN no afirma que los repositorios originales hayan sido comprometidos y el análisis tampoco sostiene que el malware infecte la consola.
El archivo intenta esquivar el análisis
Cuando alguien ejecuta el archivo, el programa revisa el entorno en el que corre. Si detecta condiciones asociadas con equipos de análisis, puede detenerse.
Si continúa, añade exclusiones a Microsoft Defender para que el antivirus ignore las carpetas en las que opera. Después ejecuta una carga que NordVPN considera un posible infostealer.
Infostealer es un tipo de programa diseñado para obtener contraseñas u otra información sensible. NordVPN no ha identificado públicamente el nombre de esa carga ni todas sus capacidades. TechSpot también señala que no se sabe cuántas personas descargaron los paquetes ni cuántas computadoras quedaron comprometidas.
El análisis describe una rutina que elimina archivos del propio malware aproximadamente dos minutos después de la infección. Eso puede dificultar la detección, pero borrar esos archivos no demuestra que la computadora haya quedado limpia ni que la información no se haya expuesto.
Una firma visible tampoco basta
NordVPN examinó dos muestras y ambas estaban firmadas con certificados autofirmados que usaban nombres de empresas falsos, de acuerdo con el análisis publicado por The IT Nerd. El riesgo, por tanto, no se limita a archivos que aparecen como programas sin firma.
Una firma visible no demuestra que una descarga provenga del equipo legítimo. Del mismo modo, un programa sin firma no es necesariamente malicioso. Antes de instalar, conviene comprobar quién administra el repositorio y si el equipo del proyecto dirige a esa página.
Marijus Briedis, director de tecnología de NordVPN, explicó en declaraciones recogidas por TechSpot que los aficionados a la emulación suelen probar software experimental de GitHub y ejecutar archivos sin firmar. Esa costumbre puede hacer menos evidente el engaño.
Que una página esté alojada en GitHub o use un nombre conocido tampoco confirma que pertenezca a los desarrolladores auténticos. Una instalación que pida desactivar el antivirus o añadir una exclusión es una señal para detenerse y verificar el proyecto.
Qué hacer si ya ejecutaste un archivo sospechoso
Si ya ejecutaste uno de estos archivos, desconecta la computadora de internet. NordVPN recomienda cambiar las contraseñas desde otro dispositivo y realizar un análisis antivirus completo.
- Cambia las contraseñas desde un dispositivo de confianza. Empieza por el correo electrónico y las cuentas que permiten recuperar el acceso a otros servicios. Revisa las sesiones o dispositivos conectados y cierra los que no reconozcas.
- Revisa las exclusiones de Microsoft Defender y ejecuta un análisis completo. Si la computadora pertenece a una empresa, consulta al área de tecnología antes de modificar su configuración.
- Ejecuta el examen sin conexión de Microsoft si necesitas una revisión adicional. El análisis reinicia la computadora y revisa el equipo antes de cargar Windows. No vuelvas a usar el equipo para iniciar sesión hasta resolver la sospecha de infección.
Un resultado sin detecciones tampoco confirma que no se haya expuesto información. Si persisten las alertas o no puedes verificar que la amenaza fue eliminada, busca ayuda especializada.
