NordVPN’in güvenlik uzmanları, GitHub’da AnyPS5 ve KytyPS5 adlarını kullanarak kullanıcıları yanıltan zararlı depolar tespit etti. Bu depolar, PlayStation 5 oyunlarını bilgisayarda çalıştırmayı vaat ediyor; ancak indirilen dosyalar bir PS5 emülatörü sunmak yerine Windows bilgisayarlara zararlı yazılım bulaştırabiliyor. Bu nedenle proje adlarının tanıdık olması veya deponun GitHub’da bulunması, dosyanın güvenilir olduğunu tek başına kanıtlamıyor.

Tehdit özellikle PS5 oyunlarını bilgisayarında denemek isteyen kullanıcıları hedef alıyor. Sahte depolar, kullanıcıları ZIP arşivi indirmeye yönlendiriyor. Arşivden çıkarılan Windows dosyası çalıştırıldığında, bilgisayardaki güvenlik önlemlerini zayıflatabilecek ve hassas bilgileri çalabilecek bir enfeksiyon zinciri devreye giriyor. Kullanıcı, beklediği oyun çalıştırma yazılımını elde etmek yerine cihazını ve hesap bilgilerini riske atabiliyor.

Sahte depolar güveni nasıl istismar ediyor?

AnyPS5 ve KytyPS5 adları, PS5 oyunlarını PC’de çalıştırmaya yönelik projelerle ilişkilendiriliyor. Saldırganlar da bu tanınırlıktan yararlanarak aynı adlara benzeyen veya onları doğrudan kullanan GitHub depoları oluşturuyor. Bir kullanıcı arama sonuçlarında bu isimleri gördüğünde, karşısındaki sayfanın resmi proje olduğunu varsayabilir. Oysa depo sahibinin hesabı ve projenin resmi bağlantıları kontrol edilmeden yalnızca isme bakarak karar vermek güvenli değildir.

GitHub, geliştiricilerin kod ve yazılım dosyaları paylaşabildiği bir platformdur; platformda yayımlanan her dosyanın güvenlik açısından incelendiği ya da onaylandığı anlamına gelmez. Bu yüzden bir GitHub sayfasının mevcut olması, depodaki ZIP arşivinin veya çalıştırılabilir dosyanın zararsız olduğunu göstermez. Özellikle resmi proje yerine başka bir hesabın sunduğu, oyun çalıştırma vaadi taşıyan arşivlere karşı dikkatli olunmalıdır.

Zararlı yazılımın bilgisayardaki işlem sırası

Uzmanların aktardığı enfeksiyon zincirinde kullanıcı önce ZIP arşivini indiriyor ve içindeki Windows yürütülebilir dosyasını çalıştırıyor. Dosya açıldıktan sonra zararlı yazılım, Microsoft Defender’a istisna kuralları eklemeye çalışıyor. Defender, Windows’un yerleşik güvenlik aracıdır; istisna tanımlanan dosya veya konumlar tarama dışında bırakılabildiğinden, bu adım zararlı bileşenlerin fark edilmesini ve engellenmesini zorlaştırabilir.

Sonraki aşamada zararlı yazılım, asıl yükünün şifresini çözüyor ve bu yükü çalıştırıyor. Araştırmacılar, son aşamada devreye giren programın bir bilgi hırsızı olabileceğini belirtiyor. Bilgi hırsızları, bilgisayarda saklanan hassas verileri toplamaya yönelik zararlı yazılım türleridir. Bu olayda hangi verilerin kesin olarak hedef alındığına ilişkin ayrıntılar verilmediğinden, belirli bir parola veya hesap türünün mutlaka çalındığı söylenemez. Bununla birlikte, yükün bilgi hırsızı olabileceği değerlendirmesi, dosyayı çalıştıran kullanıcıların cihazlarını ve hesaplarını güvenlik açısından risk altında kabul etmesini gerektiriyor.

• Kullanıcı, sahte GitHub deposundan bir ZIP arşivi indiriyor.
• Arşivdeki Windows dosyası çalıştırılıyor ve Microsoft Defender için istisnalar eklenmeye çalışılıyor.
• Zararlı bileşen, şifrelenmiş asıl yükü çözüp çalıştırıyor.
• Yaklaşık iki dakika sonra bir temizlik betiği, zararlı yazılımın dosyalarını siliyor.

Temizlik betiğinin yaklaşık iki dakika sonra çalışması, tehdidin izlerini bulmayı güçleştirebilir. Dosyaların silinmesi, bilgisayarın daha önce enfekte olmadığı anlamına gelmez; yalnızca zararlı dosyaların sonradan görünmesini zorlaştırabilir. Ayrıca dosyaların silinmesi, daha önce toplanmış olabilecek bilgilerin geri alınmış veya saldırgana ulaşmasının engellenmiş olduğu anlamına da gelmez.

Resmi depoyu doğrulamak için nelere bakılmalı?

NordVPN uzmanlarının aktardığı bilgilere göre AnyPS5’in resmi deposu boykopovar adlı kullanıcıya, KytyPS5’in resmi deposu ise KytyPS5 organizasyonuna ait. İndirme yapmadan önce depo sahibinin adını, resmi proje sayfasındaki bağlantıları ve projenin yayımladığı açıklamaları karşılaştırmak, sahte kopyaları ayırt etmeye yardımcı olur. Bir arama sonucunda ilk sırada çıkmak veya proje adını doğru yazmak, deponun resmi olduğunu kanıtlamaz.

İndirilen arşivin içinden çıkan dosyanın türü de dikkatle değerlendirilmelidir. Bir dosya PS5 oyunlarını çalıştırma vaadiyle sunuluyor ancak kullanıcıdan Windows’ta bilinmeyen bir yürütülebilir dosyayı açmasını istiyorsa, kaynağı doğrulamadan ilerlememek gerekir. Microsoft Defender’ı kapatmayı veya güvenlik yazılımında istisna oluşturmayı isteyen talimatlar özellikle uyarı işareti olarak görülmelidir. Güvenlik aracındaki korumayı aşmak, yazılımın meşru olduğunu göstermez; tersine, dosyanın neden böyle bir işlem istediğini sorgulamayı gerektirir.

Dosya zaten çalıştırıldıysa

Sahte depodan indirilen bir dosya çalıştırıldıysa, temizlik betiğinin dosyaları silebileceği bilgisine güvenerek cihazı güvenli kabul etmemek gerekir. İlgili dosyayı yeniden çalıştırmayın ve bilgisayarda güvenilir bir güvenlik aracıyla tarama yapın. Microsoft Defender’a tanımadığınız istisnalar eklenmiş olup olmadığını kontrol edin; şüpheli istisnaları kaldırın ve güvenlik yazılımını güncel tutun. Cihazın temiz olduğundan emin olunamıyorsa bir güvenlik uzmanından destek almak uygun olur.

Olası bilgi hırsızlığı şüphesi varsa, etkilenen bilgisayardan değil temiz ve güvenilir başka bir cihazdan önemli hesapların parolalarını değiştirmek ve mevcut oturumları sonlandırmak ihtiyatlı bir yaklaşımdır. Çok faktörlü kimlik doğrulamayı etkinleştirmek de hesapların korunmasına yardımcı olabilir. Bu adımlar, cihazın kesin olarak enfekte olduğunu veya belirli bilgilerin çalındığını kanıtlamaz; ancak çalıştırılmış şüpheli bir dosya sonrasında riski azaltmaya yönelik önlemlerdir.

Özetle: AnyPS5 ve KytyPS5 adlarını taşıyan her GitHub deposu resmi değildir. İndirme öncesinde doğru depo sahibini doğrulayın, kaynağı belirsiz ZIP arşivlerini çalıştırmayın ve Microsoft Defender’da istisna oluşturulmasını isteyen yazılımlara temkinli yaklaşın. Proje adını taklit eden bir depo, kullanıcıları zararlı yazılım indirmeye ikna etmek için yeterli olabilir.