Les communaut\u00e9s de r\u00e9tro-gaming reposent de plus en plus sur des outils, des plugins et des logiciels faits maison construits par la communaut\u00e9 pour maintenir l'utilit\u00e9 des anciennes consoles bien apr\u00e8s la fin du support officiel. Ce m\u00eame \u00e9cosyst\u00e8me bas\u00e9 sur la confiance est maintenant exploit\u00e9 par des attaquants qui d\u00e9guisent des logiciels malveillants Windows ordinaires en utilitaires de console h\u00e9berg\u00e9s dans de faux d\u00e9p\u00f4ts GitHub.<\/p>\n
Une r\u00e9cente campagne a cibl\u00e9 les passionn\u00e9s de PlayStation Vita avec un faux projet appel\u00e9 EQVita. Il semblait offrir un plugin audio gratuit pour la console portable, avec une page de d\u00e9p\u00f4t soign\u00e9e, des captures d'\u00e9cran, un bouton de t\u00e9l\u00e9chargement et un fichier README d'aspect professionnel. En r\u00e9alit\u00e9, le t\u00e9l\u00e9chargement ne contenait aucun plugin Vita. Il livrait des fichiers Windows con\u00e7us pour ex\u00e9cuter un script cach\u00e9 et contacter une infrastructure contr\u00f4l\u00e9e par des attaquants.<\/p>\n
La tactique ne se limite pas \u00e0 un seul appareil ou \u00e0 une seule communaut\u00e9. Toute sc\u00e8ne de r\u00e9tro-gaming qui d\u00e9pend d'outils homebrew h\u00e9berg\u00e9s sur GitHub, de plugins non officiels, d'\u00e9mulateurs, de gestionnaires de fichiers ou d'utilitaires de modding peut \u00eatre cibl\u00e9e de la m\u00eame mani\u00e8re.<\/p>\n
La PlayStation Vita reste populaire aupr\u00e8s des moddeurs malgr\u00e9 son arr\u00eat il y a des ann\u00e9es. Les amateurs continuent d'\u00e9tendre les capacit\u00e9s de l'appareil gr\u00e2ce \u00e0 des logiciels faits maison, notamment des \u00e9mulateurs, des gestionnaires de fichiers, des plugins et des utilitaires qui font de la console portable une plateforme de jeu r\u00e9tro polyvalente.<\/p>\n
Une Vita modifi\u00e9e peut ex\u00e9cuter des titres PSP, \u00e9muler de vieux syst\u00e8mes comme la SNES, la Game Boy Advance et la Sega Genesis, et supporter une large gamme d'outils d\u00e9velopp\u00e9s par la communaut\u00e9. La demande pour des unit\u00e9s fonctionnelles a \u00e9galement augment\u00e9, en particulier pour les anciens mod\u00e8les OLED appr\u00e9ci\u00e9s par les moddeurs.<\/p>\n
Cela cr\u00e9e un environnement id\u00e9al pour les attaquants :<\/p>\n
Implication de s\u00e9curit\u00e9 :<\/b> Un faux d\u00e9p\u00f4t n'a pas besoin de d\u00e9jouer des contr\u00f4les d'entreprise sophistiqu\u00e9s pour r\u00e9ussir. Il lui suffit d'avoir l'air suffisamment familier pour qu'un passionn\u00e9 ex\u00e9cute le fichier sans inspection approfondie.<\/p>\n L'archive malveillante s'appelait EQ_Vita_v1.3.zip<\/tt> et contenait trois fichiers :<\/p>\n \u00c0 premi\u00e8re vue, cela ne semble pas particuli\u00e8rement alarmant. luajit.exe<\/tt> est un programme l\u00e9gitime utilis\u00e9 pour ex\u00e9cuter des scripts Lua. Le fichier batch le lance. Le fichier nomm\u00e9 x64.txt<\/tt> semble \u00eatre un fichier texte inoffensif.<\/p>\n Le probl\u00e8me est que x64.txt<\/tt> n'est pas du texte ordinaire. C'est un script d\u00e9guis\u00e9. Quand Lancer.bat<\/tt> court luajit.exe<\/tt>, l'ex\u00e9cutable LuaJIT l\u00e9gitime ex\u00e9cute le code cach\u00e9 \u00e0 l'int\u00e9rieur du .txt<\/tt> fichier.<\/p>\n Voici une technique de maliciel courante : les attaquants combinent des outils l\u00e9gitimes avec des scripts malveillants pour que le package paraisse moins suspect. Aucun des fichiers ne semble n\u00e9cessairement dangereux isol\u00e9ment. L'ex\u00e9cutable est r\u00e9el, le fichier batch est simple et le script est cach\u00e9 derri\u00e8re une extension trompeuse.<\/p>\n Point cl\u00e9 :<\/b> Le composant malveillant n'est pas toujours l'ex\u00e9cutable. Dans ce cas, l'ex\u00e9cutable l\u00e9gitime est utilis\u00e9 comme v\u00e9hicule pour ex\u00e9cuter du code contr\u00f4l\u00e9 par l'attaquant.<\/p>\n Une fois ex\u00e9cut\u00e9, le script a pr\u00e9sent\u00e9 un comportement coh\u00e9rent avec celui d'un chargeur de logiciel malveillant. Un chargeur est un composant de logiciel malveillant de premi\u00e8re \u00e9tape con\u00e7u pour contacter l'infrastructure de l'attaquant, recevoir des instructions et t\u00e9l\u00e9charger des charges utiles suppl\u00e9mentaires.<\/p>\n Le script a d'abord v\u00e9rifi\u00e9 la localisation g\u00e9ographique du syst\u00e8me. Il a ensuite contact\u00e9 un serveur distant en utilisant une adresse web obfusqu\u00e9e et a re\u00e7u une r\u00e9ponse.<\/p>\n Un plugin audio pour une console portable n'a aucune raison l\u00e9gitime d'effectuer ce type d'activit\u00e9 r\u00e9seau depuis un PC sous Windows. Ce comportement indique fortement que l'outil n'est pas un utilitaire de console, mais un m\u00e9canisme de distribution de logiciels malveillants.<\/p>\n Les campagnes utilisant des m\u00e9thodes similaires ont \u00e9t\u00e9 associ\u00e9es \u00e0 SmartLoader, un chargeur associ\u00e9 \u00e0 des logiciels malveillants ult\u00e9rieurs tels que Lumma Stealer. Les voleurs d'informations sont con\u00e7us pour collecter des donn\u00e9es sensibles, notamment :<\/p>\n Le risque ne se limite donc pas au plugin falsifi\u00e9 lui-m\u00eame. L'impact le plus grave r\u00e9side dans ce que le chargeur peut r\u00e9cup\u00e9rer et ex\u00e9cuter apr\u00e8s l'infection initiale.<\/p>\n Le faux projet utilisait plusieurs astuces subtiles pour para\u00eetre l\u00e9gitime. Il pr\u00e9sentait une mise en page soign\u00e9e, une description persuasive, des captures d'\u00e9cran et un flux de t\u00e9l\u00e9chargement bien visible. Ces indices visuels sont efficaces car les utilisateurs jugent souvent rapidement les d\u00e9p\u00f4ts open source, surtout lorsqu'ils recherchent des outils de niche.<\/p>\n Le num\u00e9ro de version \u00e9tait \u00e9galement trompeur. Le vrai projet EQVita \u00e9tait \u00e0 la version 1.10<\/tt>, tandis que le faux pr\u00e9tendait \u00eatre la version 1.3<\/tt>. Pour un lecteur occasionnel, 1.3<\/tt> peut para\u00eetre plus r\u00e9cent que 1.10<\/tt>, mais le versionnement s\u00e9mantique ne fonctionne pas ainsi. Version 1.10<\/tt> vient apr\u00e8s 1.9<\/tt>, ce qui signifie qu'il est plus r\u00e9cent que 1.3<\/tt>.<\/p>\n De faux d\u00e9p\u00f4ts dans des campagnes similaires ont \u00e9galement utilis\u00e9 des descriptions g\u00e9n\u00e9r\u00e9es par l'IA. Celles-ci ressemblent souvent davantage \u00e0 des pages marketing qu'\u00e0 de la documentation technique de projet, avec un ton trop amical, des avantages exag\u00e9r\u00e9s, une mise en forme riche en \u00e9mojis et de grandes incitations au \u201ct\u00e9l\u00e9chargement imm\u00e9diat\u201d.<\/p>\n Point cl\u00e9 \u00e0 retenir :<\/b> Un d\u00e9p\u00f4t soign\u00e9 n'est pas une preuve de l\u00e9gitimit\u00e9. Les attaquants peuvent copier les conventions visuelles, g\u00e9n\u00e9rer du texte convaincant et imiter la structure de vrais projets.<\/p>\n La plupart des plugins PlayStation Vita sont install\u00e9s sur l'appareil lui-m\u00eame \u00e0 l'aide d'outils tels que VitaShell ou Autoplugin. Ils utilisent couramment des formats de fichiers sp\u00e9cifiques \u00e0 la Vita tels que .skprx<\/tt> ou .vpk<\/tt>.<\/p>\n Cela ne signifie pas que tous les fichiers Windows sont malveillants. Certaines utilitaires l\u00e9gitimes, installateurs, aides au transfert de fichiers et outils de compilation s'ex\u00e9cutent sur un PC. L'important est de v\u00e9rifier pourquoi un ex\u00e9cutable PC est n\u00e9cessaire avant de l'ex\u00e9cuter.<\/p>\n Les signes d'alerte comprennent :<\/p>\n Avant d'ex\u00e9cuter un fichier li\u00e9 \u00e0 Homebrew, les utilisateurs devraient se demander :<\/p>\n Toute personne qui a t\u00e9l\u00e9charg\u00e9 et ex\u00e9cut\u00e9 EQ_Vita_v1.3.zip<\/tt> il faut consid\u00e9rer l'ordinateur affect\u00e9 comme compromis. Comme la campagne est associ\u00e9e \u00e0 un comportement de chargeur malveillant et \u00e0 un logiciel espion potentiel, le nettoyage doit aller au-del\u00e0 de la simple suppression des fichiers.<\/p>\n Les actions recommand\u00e9es incluent :<\/p>\n 1. D\u00e9connectez le syst\u00e8me concern\u00e9 du r\u00e9seau si une activit\u00e9 suspecte est en cours.<\/p>\n 2. Lancez une analyse compl\u00e8te \u00e0 l'aide d'un logiciel de s\u00e9curit\u00e9 \u00e0 jour.<\/p>\n 3. Changez les mots de passe importants \u00e0 partir d'un appareil s\u00e9par\u00e9 et propre.<\/p>\n 4. Examiner les comptes d'e-mail, de jeux, financiers et cloud pour toute connexion non autoris\u00e9e.<\/p>\n 5. R\u00e9voquer les sessions suspectes et r\u00e9initialiser les jetons d'authentification si possible.<\/p>\n 6. V\u00e9rifiez les param\u00e8tres d'authentification \u00e0 deux facteurs pour d\u00e9tecter les modifications ou les appareils non autoris\u00e9s.<\/p>\n 7. Si des portefeuilles de cryptomonnaies \u00e9taient pr\u00e9sents sur le syst\u00e8me, transf\u00e9rez les fonds \u00e0 partir d'un appareil s\u00e9curis\u00e9 et faites pivoter les cl\u00e9s, les phrases de r\u00e9cup\u00e9ration ou les identifiants de portefeuille selon ce qui est appropri\u00e9.<\/p>\n 8. Supprimez les fichiers t\u00e9l\u00e9charg\u00e9s.<\/p>\n 9. Signaler le faux d\u00e9p\u00f4t \u00e0 la plateforme d'h\u00e9bergement.<\/p>\n Important :<\/b> Si un voleur d'informations s'est ex\u00e9cut\u00e9 avec succ\u00e8s, le changement de mots de passe depuis la machine infect\u00e9e peut \u00e9galement exposer les nouvelles informations d'identification. Utilisez un appareil propre et fiable pour la r\u00e9cup\u00e9ration de compte.<\/p>\n Les indicateurs suivants \u00e9taient associ\u00e9s \u00e0 la campagne et doivent \u00eatre examin\u00e9s dans les outils de s\u00e9curit\u00e9, le cas \u00e9ch\u00e9ant :<\/p>\n<\/a>Comment le faux t\u00e9l\u00e9chargement d'EQVita a fonctionn\u00e9<\/h2>\n
\n
\n
\n
<\/a>Comportement du chargeur et malwares ult\u00e9rieurs<\/h2>\n
\n
\n
\n
\n
\n
\n
<\/a>Pourquoi le faux d\u00e9p\u00f4t semblait convaincant<\/h2>\n
<\/a>Comment rep\u00e9rer les t\u00e9l\u00e9chargements suspects de homebrew<\/h2>\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
<\/a>Que faire si le fichier a \u00e9t\u00e9 ex\u00e9cut\u00e9<\/h2>\n
<\/a>Indicateurs de compromission<\/h2>\n
\n
\n