Falsos emuladores de PS5 no GitHub roubam senhas no PC

Publicada em 30/10/2026 05h17 UTC · Atualizado em 30/10/2026 05h17 UTC

Criminosos usam projetos falsos como AnyPS5 e Kyttyps5 no GitHub para desativar o Windows Defender e roubar credenciais salvas de jogadores no PC.

Adicione como fonte preferida no Google WhatsApp Telegram

Console PlayStation 5 em exposição — · Foto: Kyu3 / Wikimedia Commons (CC BY-SA 4.0)

Pesquisadores de segurança digital identificaram nesta semana uma onda agressiva de ataques cibernéticos que explora o entusiasmo da comunidade de jogos de computador em torno da emulação da nona geração de consoles. Cibercriminosos passaram a disseminar arquivos maliciosos disfarçados de supostos emuladores do PlayStation 5 em repositórios da plataforma GitHub, mirando especificamente entusiastas de jogos no PC que buscam softwares experimentais antes do lançamento oficial.

A ameaça foi mapeada em profundidade pela equipe de inteligência de ameaças da NordVPN e confirmada por portais especializados de tecnologia, incluindo o Android Headlines. Os golpistas criaram cópias forjadas de nomes amplamente especulados ou clonados de fóruns, como AnyPS5 e Kyttyps5, hospedando executáveis que, sob o pretexto de configurar drivers e shaders para rodar títulos modernos da Sony, ativam um sofisticado ladrão de informações (infostealer).

Como funciona a armadilha armada contra os jogadores

O ecossistema de emulação sempre foi marcado pelo compartilhamento colaborativo de código-fonte aberto, no qual usuários costumam baixar binários pré-compilados diretamente de repositórios do GitHub. Aproveitando-se dessa relação de confiança, os atacantes construíram repositórios repletos de descrições técnicas convincentes, listas fictícias de compatibilidade e capturas de tela adulteradas que prometiam taxas estáveis de 60 quadros por segundo em títulos exclusivos.

Controle sem fio DualSense do PlayStation 5 sobre mesa — A promessa tentadora de jogar exclusivos do PlayStation 5 no computador usando o DualSense tem servido de isca para golpes no GitHub. (Foto: Xephuwu / Wikimedia Commons / CC BY-SA 4.0)

Ao realizar o download do arquivo compactado e executar o instalador principal, a vítima não encontra nenhum ambiente de emulação real. Em vez disso, o programa inicia uma sequência automatizada de comandos em segundo plano que prepara a máquina do usuário para ser vasculhada silenciosamente, enquanto exibe uma janela falsa de carregamento de shaders para disfarçar o atraso operacional.

"Os golpistas exploram o fato de que entusiastas da emulação já estão habituados a lidar com avisos falsos-positivos e compilações instáveis, induzindo o próprio usuário a conceder privilégios administrativos sem hesitar."

Evasão de segurança e desativação do Microsoft Defender

Uma das características mais preocupantes do pacote malicioso é a sua capacidade de neutralizar as defesas nativas do sistema operacional Windows. Logo nos primeiros segundos após a execução, o carregador malicioso verifica se o ambiente possui características de máquina virtual (sandbox) utilizada por analistas forenses. Caso detecte menos de 2 GB de memória RAM livre ou ausência de uma placa de vídeo dedicada, o malware encerra imediatamente seus processos para evitar a detecção por laboratórios antivírus.

Por outro lado, quando o executável confirma estar em um computador gamer legítimo dotado de hardware de alta performance, ele dispara comandos via PowerShell com permissões elevadas. O principal objetivo dessa etapa é injetar regras de exclusão diretamente nas configurações do Microsoft Defender e de outros softwares de proteção instalados no sistema.

Inclusão de pastas na lista branca: os diretórios temporários onde os módulos maliciosos operam são marcados como seguros no registro do Windows;
Supressão de alertas do sistema: notificações de ameaças em tempo real são silenciosamente desligadas para não chamar a atenção da vítima;
Persistência encoberta: o programa cria gatilhos no agendador de tarefas para garantir que os módulos espiões permaneçam ativos após reinicializações.

O que o malware rouba e a rotina de autoexclusão

Com o caminho desimpedido e o antivírus amordaçado, o infostealer entra em sua fase mais destrutiva. O foco primário dos criminosos é o furto sistemático de credenciais e dados sensíveis armazenados nos principais navegadores da web, como Google Chrome, Microsoft Edge, Mozilla Firefox e Opera.

O vírus varre os bancos de dados locais dos navegadores em busca de senhas salvas, cookies de sessões ativas e tokens de autenticação de dois fatores. Além disso, a ferramenta rastreia extensões populares de carteiras de criptomoedas e tenta capturar arquivos de configuração de clientes de jogos como Steam, Epic Games Store, Discord e Battle.net. Em cenários de comunidades atentas a mods e portas de clássicos, como vimos na recente mobilização da comunidade em torno de projetos como a versão não oficial de Destiny 1 para PC, o risco de confiar em links aleatórios torna-se crítico.

Assim que os pacotes de dados roubados são compactados e transmitidos via canais criptografados para servidores de comando e controle gerenciados pelos invasores, o malware ativa uma rotina de autoexclusão. Os arquivos executáveis originais, os scripts temporários e os logs operacionais são sumariamente apagados do disco rígido, não deixando pistas visíveis para o usuário desavisado.

Comparativo de segurança: emulação legítima versus armadilhas

Para orientar a comunidade de jogadores e técnicos, resumimos as principais diferenças estruturais entre projetos reais de emulação e campanhas maliciosas disseminadas na web:

Aspecto Analisado	Emuladores Legítimos (Open-Source)	Projetos Falsos / Malware
Reputação do GitHub	Anos de histórico, centenas de commits, múltiplos contribuidores conhecidos.	Contas recentes, commit único, poucas estrelas ou forks forjados.
Status da Tecnologia	Emulação de PS5 ainda está em fase embrionária, rodando apenas homebrews simples.	Prometem rodar jogos AAA comerciais em 4K e 60 FPS com um clique.
Comportamento de Instalação	Não exige desligar antivírus nem adiciona exclusões forçadas no Windows Defender.	Executa comandos PowerShell em segundo plano e manipula regras de segurança.
Transparência do Código	Código-fonte auditável e instruções detalhadas de compilação.	Binários fechados hospedados em repositórios que simulam código aberto.

Diretrizes fundamentais para proteger seu computador

Embora a equipe de segurança do GitHub tenha eliminado diversos repositórios associados a este ataque específico após as denúncias da comunidade e da NordVPN, os especialistas alertam que novas variantes continuam surgindo quase diariamente sob títulos ligeiramente modificados.

Para se manter protegido, o jogador deve sempre verificar a procedência dos desenvolvedores envolvidos e acompanhar a cobertura de sites de referência no setor de jogos eletrônicos. Se você baixou ou executou recentemente qualquer instalador duvidoso que prometia emular jogos de PlayStation 5, a recomendação emergencial é reiniciar o sistema em Modo de Segurança, efetuar uma varredura completa com ferramentas antivírus atualizadas e redefinir imediatamente todas as senhas armazenadas no navegador a partir de outro dispositivo seguro.