AnyPS5 ve KytyPS5 Taklidi Yapan Zararlı GitHub Depoları Bulundu

AnyPS5 ve KytyPS5 adını kullanan sahte GitHub depoları, PS5 oyunlarını PC'de çalıştırmak isteyenlere zararlı yazılım bulaştırıyor.

NordVPN’deki güvenlik uzmanları, AnyPS5 ve KytyPS5 adını kullanan zararlı GitHub depolarını tespit etti. Bu depolar, PS5 oyunlarını PC’de çalıştırmayı vaat ediyor. Ancak gerçekte kullanıcının bilgisayarına zararlı yazılım bırakıyor.

Sahte depolar, kullanıcıdan bir ZIP arşivi indirmesini istiyor. Arşivin içinde ise Windows’ta çalışan yürütülebilir dosyalar bulunuyor. Dolayısıyla PS5 oyunlarını PC’de denemek isteyen biri, dosyayı gerçek bir proje sanıp açabilir. Bu yüzden indirilen dosyanın nereden geldiği büyük önem taşıyor.

Taklit edilen iki isim de bilinen projelere ait. AnyPS5 ve KytyPS5, PS5 oyunlarını PC’de çalıştırmaya yönelik çözümler olarak tanınıyor. Üstelik sahte depolar da bu projelerin adını taşıyor. Bu yüzden adları gören kullanıcı, depoyu güvenilir sanabilir.

GitHub, yazılım projelerinin paylaşıldığı açık bir platform. Ancak bir depo sayfasının orada durması, içeriğin güvenilir olduğunu göstermiyor. Nitekim bu olayda da tanınmış proje adları taklit edilmiş.

Dosya çalıştığında ilk olarak Microsoft Defender’a istisna kuralları ekleniyor. Defender, Windows’un yerleşik güvenlik yazılımı. İstisna tanımlanan konumlar, taramanın dışında kalabiliyor. Ardından zararlı yazılım, asıl yükünün şifresini çözüp çalıştırıyor.

Enfeksiyon zinciri adım adım şöyle işliyor:

ZIP arşivi indirilir ve içindeki Windows dosyası çalıştırılır.

Microsoft Defender’a istisna kuralları eklenir.

Zararlı yükün şifresi çözülür ve yük çalıştırılır.

Yaklaşık iki dakika sonra temizlik betiği dosyaları siler.

Araştırmacılar, son çalışan dosyanın bir bilgi hırsızı olduğunu düşünüyor. Yani program, parolaları ve gizli verileri çalmak için tasarlanmış olabilir. Bilgi hırsızı, bilgisayardaki hassas verileri toplayıp saldırgana ulaştırmayı amaçlayan yazılım türüdür. Bu değerlendirme araştırmacılara ait bir tahmin, yine de risk ciddi.

Zararlı yazılım iz bırakmamaya da çalışıyor. Çalıştırıldıktan yaklaşık iki dakika sonra bir temizlik betiği, zararlı yazılımın dosyalarını siliyor. Böylece enfeksiyonun incelenmesi zorlaşıyor. Bu nedenle bulaşmanın izini sürmek, olaydan sonra bile kolay olmayabilir. Yani kullanıcı dosyaları sonradan aradığında ortada zararlı yazılımdan eser bulamayabilir.

Sahte depolara kapılmamak için doğru sahibi bilmek yeterli. AnyPS5 projesini boykopovar adlı kullanıcı sürdürüyor. KytyPS5’in resmi deposu ise KytyPS5 organizasyonuna ait. Bu bilgilere internetten kolayca ulaşmak mümkün. Bu iki bilgi, sahte depoları ayırt etmenin en pratik yolu.

Dolayısıyla indirme yapmadan önce depo sahibinin adını kontrol etmek gerekiyor. Ayrıca ZIP içinden çıkan çalıştırılabilir dosyalara da temkinli yaklaşmak lazım. Çünkü Defender’a istisna ekleyen bir program, o dosyalar için korumayı atlatıyor.

Başka bir hesaptan sunulan ZIP arşivleri bu nedenle güvenilir sayılmamalı. AnyPS5 ve KytyPS5 için doğru adresler ise net: AnyPS5 için boykopovar, KytyPS5 için KytyPS5 organizasyonunun resmi deposu.