NordVPN Temukan Malware Berkedok Emulator PS5 di GitHub

Pengguna komputer yang mengunduh emulator PlayStation 5 (PS5) dari GitHub menghadapi ancaman pencurian data pribadi melalui perangkat lunak berbahaya yang menyamar sebagai proyek emulator. Tim Threat Intelligence NordVPN menemukan dua repositori palsu bernama KyttyPS5 dan AnyPS5 yang dirancang untuk mengelabui komunitas penggemar game, dilansir dari Detik iNET pada Selasa (3/11/2026). Malware tersebut dapat mencuri kata sandi, kredensial akun, serta informasi sensitif lainnya.

Pelaku memanfaatkan kebiasaan pengguna emulator yang sering mengunduh berkas mentah dari GitHub dan menjalankan program eksperimental tanpa sertifikat digital. Kedua repositori menggunakan tampilan yang menyerupai proyek emulasi asli. Strategi tersebut membuat calon korban berpotensi mengira berkas yang diunduh merupakan perangkat lunak untuk menjalankan game PS5.

CTO NordVPN, Marijus Briedis, menjelaskan bahwa kebiasaan komunitas emulator dalam menjalankan perangkat lunak yang belum memiliki tanda tangan digital menjadi celah yang dimanfaatkan pelaku.

"Penggemar emulator adalah target yang sempurna. Mereka terbiasa mengunduh perangkat lunak eksperimental dari GitHub dan menjalankan berkas tanpa tanda tangan digital, sehingga tidak ada yang terasa mencurigakan bagi mereka," ujar Marijus Briedis, CTO NordVPN. Ancaman tersebut tidak hanya mengandalkan penyamaran aplikasi. Malware juga menjalankan sejumlah tahapan untuk menghindari deteksi antivirus dan menyembunyikan aktivitas pencurian data dari pemilik komputer.

Pada tahap awal, program berbahaya mengubah pengaturan Microsoft Defender dengan menambahkan aturan pengecualian atau exclusion rules. Perubahan ini membuat antivirus bawaan Windows mengabaikan pemindaian terhadap folder atau berkas tertentu. Setelah pengaturan keamanan diubah, malware menjalankan program eksekutabel yang diidentifikasi peneliti sebagai infostealer. Jenis program jahat ini dirancang untuk mengambil kata sandi, kredensial akun, dan berbagai informasi sensitif yang tersimpan di perangkat korban.

Proses berikutnya melibatkan script pembersih yang berjalan secara otomatis setelah infostealer menyelesaikan aktivitasnya. Script tersebut menghapus berkas malware dari komputer sehingga jejak keberadaan program berbahaya menjadi lebih sulit ditemukan. Mekanisme penghapusan otomatis itu berpotensi membuat korban tidak menyadari bahwa perangkatnya telah disusupi dan informasi pribadinya dicuri.

NordVPN menyatakan bahwa jumlah pengguna yang telah terinfeksi belum diketahui secara pasti. Identitas spesifik varian infostealer yang digunakan dalam serangan tersebut juga belum terungkap.