I løbet af seks dage — fra 6. til 12. maj 2026 — blev de officielle Linux-versioner af den populære Wii U-emulator Cemu version 2.6 kompromitteret. I stedet for det rene program downloadede brugerne malware, der stjal adgangskoder, SSH-nøgler, GitHub-token og legitimationsoplysninger til cloud-tjenester. Angriberne lykkedes med at erstatte binære filer i det officielle projekt repository på GitHub.
Brugere, der downloadede og kørte:
- Cemu-2.6-x86_64.AppImage (bærbar pakke)
- cemu-2.6-ubuntu-22.04-x64.zip (arkiv til Ubuntu)
Vigtigt: Flatpak-versionen af emulatoren, Windows- og macOS-versionerne blev ikke ramt af angrebet.
Cemu er en populær emulator til Nintendo Wii U, der gør det muligt at køre eksklusive spil såsom The Legend of Zelda: Breath of the Wild på personlige computere. Projektet blev oprettet i 2015 af den hollandske udvikler Exzap og eksisterede oprindeligt kun til Windows. Et vendepunkt kom i 2022, da Cemu åbnede kildekoden under MPL 2.0-licensen, hvilket tiltrak nye bidragydere og gjorde det muligt at portere emulatoren til Linux og macOS. I dag er Cemu skrevet i C++ og kan emulere ikke kun den primære konsol, men også GamePad, Pro Controller samt understøtte input fra tastatur og gamepads.
Detaljer om hændelsen:
- Angrebsvector: Angrebet skete på supply chain-niveau. En af bidragyderne til projektet kom ved et uheld til at køre et kompromitteret Python-pakket, hvilket førte til tyveri af hans GitHub-adgangstoken. Ved at bruge denne token overskrev angriberne automatisk de "rene" udgivelsesfiler med ondsindede.
- Målgruppe: Koden er primært rettet mod udviklere og DevOps-ingeniører. Malwaren stjæler autentifikationsdata for cloud-udbydere, versionskontrolsystemer og CI/CD.
- Israelsk "overraskelse": En destruktiv modul blev identificeret for israelske brugere. Hvis systemet bestemmer, at det befinder sig i Israel baseret på lokation og tidszone, er der en sandsynlighed på 1 til 6 for, at en høj sirene vil spille, og kommandoen rm -rf / vil blive udført, hvilket forsøger at slette alle data på disken.
- Omfang: Ifølge foreløbige estimater er de inficerede filer blevet downloadet næsten 20.000 gange.
Hvad skal man gøre
- Nulstil alt: Sørg for at ændre alle vigtige adgangskoder, tilbagekalde og generere SSH-nøgler og GitHub-tokens, der blev gemt i det kompromitterede system.
- Hvis du har kørt en kompromitteret version, er den mest pålidelige måde at geninstallere operativsystemet.
- Fravær af åbenlyse tegn på inficering garanterer ikke sikkerhed. Malware stjæler stille og roligt data; det er i øjeblikket ukendt, hvor omfattende dens evner er.
Kilde: linux.org.ru
