In den sechs Tagen vom 6. bis 12. Mai 2026 wurden die offiziellen Linux-Builds des beliebten Wii U-Emulators Cemu Version 2.6 kompromittiert. Anstelle des reinen Programms luden die Benutzer Malware herunter, die Passwörter, SSH-Schlüssel, GitHub-Token und Anmeldedaten von Cloud-Diensten stahl. Es gelang den Angreifern, die Binärdateien im offiziellen Projekt-Repository auf GitHub zu ersetzen.
Bedroht waren Benutzer, die heruntergeladen und gestartet haben:
- Cemu-2.6-x86_64.AppImage (tragliches Paket)
- cemu-2.6-ubuntu-22.04-x64.zip (Archiv für Ubuntu)
Wichtig: Die Flatpak-Version des Emulators, Windows- und macOS-Builds waren von dem Angriff nicht betroffen.
Cemu ist ein beliebter Emulator für die Nintendo Wii U, der es ermöglicht, Exklusivspiele wie The Legend of Zelda: Breath of the Wild auf Personal Computern auszuführen. Das Projekt wurde 2015 vom niederländischen Entwickler Exzap ins Leben gerufen und existierte ursprünglich nur für Windows. Der Wendepunkt kam 2022, als Cemu den Quellcode unter der Lizenz MPL 2.0 öffnete, was neue Mitwirkende anlockte und die Portierung des Emulators auf Linux und macOS ermöglichte. Heute ist Cemu in C++ geschrieben und kann nicht nur die Hauptkonsole, sondern auch den GamePad, Pro Controller emulieren und unterstützt die Eingabe über Tastatur und Gamepads.
Details zu dem Vorfall:
- Angriffsvektor: Der Angriff fand auf der Ebene der Lieferkette (supply chain attack) statt. Einer der Mitwirkenden des Projekts startete versehentlich ein kompromittiertes Python-Paket, was zum Diebstahl seines GitHub-Zugangs Tokens führte. Mit diesem Token überschrieben die Angreifer automatisch die „sauberen“ Release-Dateien durch bösartige Dateien.
- Zielgruppe: Der Code zielt in erster Linie auf Entwickler und DevOps-Ingenieure ab. Die Malware stiehlt Anmeldedaten für Cloud-Anbieter, Versionskontrollsysteme und CI/CD.
- Israels "Überraschung": Ein destruktives Modul für israelische Benutzer wurde entdeckt. Wenn das System anhand der Region und Zeitzone erkennt, dass es sich in Israel befindet, besteht eine Wahrscheinlichkeit von 1 zu 6, dass ein lautes Sirenensignal ertönt und der Befehl rm -rf / ausgeführt wird, der versucht, alle Daten auf der Festplatte zu löschen.
- Umfang: Nach ersten Schätzungen könnten die infizierten Dateien fast 20.000 Mal heruntergeladen worden sein.
Was tun
- Setzen Sie alles zurück: Ändern Sie unbedingt alle wichtigen Passwörter, widerrufen und generieren Sie SSH-Schlüssel und GitHub-Token neu, die im infizierten System gespeichert waren.
- Wenn Sie eine kompromittierte Version gestartet haben, ist die sicherste Methode, das Betriebssystem neu zu installieren.
- Das Fehlen offensichtlicher Anzeichen einer Infektion garantiert keine Sicherheit. Malware stiehlt heimlich Daten, der volle Umfang ihrer Möglichkeiten ist derzeit unbekannt.
Quelle: linux.org.ru
