Ein GitHub-Repository ist kein Sicherheitsnachweis für die dort angebotene Software. Eine vom Threat-Intelligence-Team von NordVPN identifizierte Kampagne nutzt die Plattform, um Schadsoftware als PS5-Emulator für Windows anzubieten. Die Angreifer verwenden dabei die Namen „AnyPS5“ und „Kyttyps5“. Wer das vermeintliche Emulationsprogramm ausführt, riskiert den Diebstahl seiner Zugangsdaten.
Der für die Sicherheitsprüfung entscheidende Teil folgt nach dem Start: Nach Angaben der Forscher trägt die Schadsoftware Ausschlüsse in Microsoft Defender ein. Zwei Minuten nach der Infektion führt sie ein Bereinigungsskript aus, das eigene Dateien entfernt. Damit betrifft der Vorfall auch die weitere Untersuchung des Rechners. Eine verschwundene Installationsdatei bedeutet nicht, dass das System wieder vertrauenswürdig ist.
Das Repository liefert den glaubwürdigen Rahmen
Die Verteilung beginnt mit einem Angebot, das zur Zielgruppe passt. PC-Spieler suchen nach Möglichkeiten, Konsolensoftware auf ihrer vorhandenen Hardware auszuführen. Ein Entwicklungsprojekt auf GitHub erscheint dafür zunächst plausibel: Experimentelle Programme werden dort häufig dokumentiert und als vorgefertigte Downloads bereitgestellt.
Vom Emulator-Angebot zur Spurenbereinigung
Vereinfachter Ablauf der beschriebenen Kampagne: Ein GitHub-Angebot führt zum Start einer Windows-Datei. Danach setzt die Schadsoftware Defender-Ausnahmen und löscht nach Angaben der Forscher zwei Minuten nach der Infektion eigene Dateien.
Die Kampagne nutzt genau diese Erwartung. Angeboten wird eine ZIP-Datei mit einer ausführbaren Windows-Datei. Das ist als Verpackung weder ungewöhnlich noch für sich genommen ein Beleg für Schadsoftware. Es erleichtert den Angreifern aber, ihren Download in einen vertrauten Arbeitsablauf einzufügen: Projektbeschreibung lesen, Archiv herunterladen, Programm ausprobieren.
GitHub übernimmt in diesem Ablauf das Hosting. Daraus folgt keine inhaltliche Prüfung oder Sicherheitsfreigabe jedes angebotenen Programms. Ebenso wenig belegt die Kampagne einen Einbruch in die Plattform. Der beschriebene Angriff funktioniert über bösartige Repositories und die Entscheidung des Nutzers, eine dort angebotene Datei zu starten.
Auch die verwendeten Projektnamen sind kein belastbarer Herkunftsnachweis. Entscheidend ist, ob ein Download tatsächlich von den nachvollziehbaren Entwicklern eines Projekts stammt. Ein passender Name und eine technisch wirkende Beschreibung stellen diese Verbindung noch nicht her.
Nach dem Start wird der Virenschutz verändert
Die technische Untersuchung von NordVPN umfasst zwei Proben des bösartigen Installers. Diese begrenzte Grundlage erlaubt Aussagen über das untersuchte Verhalten, aber keine belastbare Schätzung zur Zahl betroffener Rechner oder zur gesamten Reichweite der Kampagne.
Bei der Einordnung ist außerdem zwischen Herunterladen und Ausführen zu unterscheiden. Das Speichern eines ZIP-Archivs ist nicht mit einer erfolgreichen Infektion gleichzusetzen. Der hier beschriebene Ablauf setzt die Ausführung der Schadsoftware voraus. Erst dann kann das Programm im Rahmen seiner verfügbaren Berechtigungen Änderungen am System vornehmen.
Die gemeldeten Defender-Ausschlüsse sind dabei besonders relevant. Solche Regeln nehmen festgelegte Bereiche oder Dateien von bestimmten Prüfungen aus. Sie schalten nicht zwangsläufig den gesamten Virenschutz ab, können der Schadsoftware aber helfen, weitere Kontrollen zu umgehen. Ob entsprechende Änderungen möglich sind, hängt unter anderem von den erlangten Rechten und den Schutzrichtlinien des Rechners ab.
Für Nutzer entsteht dadurch eine ungünstige Prüfsituation: Ein nachträglicher Scan arbeitet möglicherweise bereits mit veränderten Einstellungen. Dass der Virenschutz keine Warnung anzeigt, reicht dann nicht als Entwarnung. Zu einer Untersuchung gehört auch die Kontrolle, ob unbekannte Ausnahmen hinzugekommen sind.
Die Bereinigung erschwert die Untersuchung
Nach Angaben der Forscher startet zwei Minuten nach der Infektion ein Skript, das Dateien der Schadsoftware löscht. Diese Selbstbereinigung kann offensichtliche Spuren reduzieren. Sie macht jedoch weder bereits erfolgte Systemänderungen rückgängig noch holt sie möglicherweise gestohlene Zugangsdaten zurück.
Die Unterscheidung ist praktisch wichtig. Wer nach einem fehlgeschlagenen Emulatorstart nur nach der ursprünglichen Programmdatei sucht, kann den Vorfall unterschätzen. Auch ein Programm, das kein sichtbares Fenster öffnet oder anschließend nicht mehr auffindbar ist, kann zuvor aktiv gewesen sein. Aus dem sichtbaren Verhalten allein lässt sich kein verlässlicher Sicherheitsstatus ableiten.
Die vorliegenden Angaben beschreiben Passwortdiebstahl als Zweck der Kampagne. Welche Konten bei einzelnen Betroffenen tatsächlich kompromittiert wurden, lässt sich daraus nicht bestimmen. Ebenso bleibt offen, ob die betreffenden Repositories weiterhin erreichbar sind. Für die Bewertung eines bereits ausgeführten Downloads ist dessen spätere Verfügbarkeit ohnehin zweitrangig.
Nach einer Ausführung reicht das Löschen nicht
Wer einen verdächtigen Installer gestartet hat, sollte den Rechner bis zur Klärung nicht für weitere Anmeldungen verwenden. Sinnvolle Maßnahmen sind die Trennung vom Netzwerk, eine Untersuchung mit vertrauenswürdigen Sicherheitswerkzeugen und die Prüfung der Defender-Ausnahmen. In einem verwalteten Arbeitsumfeld gehört der Vorfall an die zuständige IT-Sicherheitsstelle.
Potenziell betroffene Passwörter sollten von einem anderen, vertrauenswürdigen Gerät aus geändert werden. Wo möglich, sollten auch bestehende Kontositzungen widerrufen werden. Lässt sich die Integrität des Rechners nicht zuverlässig feststellen, kann eine Neuinstallation erforderlich sein. Das bloße Entfernen des heruntergeladenen Archivs behebt eine mögliche Kompromittierung nicht.
Vor der Ausführung liegt der wirksamere Prüfpunkt: die Herkunft des konkreten Downloads nachvollziehen, Entwicklungshistorie und Veröffentlichungswege vergleichen und Aufforderungen zum Abschalten von Schutzfunktionen nicht als normalen Installationsschritt akzeptieren. Bei dieser Kampagne liegt die entscheidende Vertrauensentscheidung zwischen dem Fund eines plausibel wirkenden Projekts und dem Start seiner Windows-Datei.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
