Vom 6. bis 12. Mai 2026 wurden die offiziellen Linux-Builds des beliebten Wii U-Emulators Cemu Version 2.6 kompromittiert. Anstelle des reinen Programms luden die Benutzer Malware herunter, die Passwörter, SSH-Schlüssel, GitHub-Tokens und Anmeldeinformationen für Cloud-Dienste stahl. Die Angreifer konnten die Binärdateien im offiziellen GitHub-Repository des Projekts manipulieren.
Betroffen waren die Benutzer, die heruntergeladen und ausgeführt haben:
- Cemu-2.6-x86_64.AppImage (tragbares Paket)
- cemu-2.6-ubuntu-22.04-x64.zip (Archiv für Ubuntu)
Wichtig: Die Flatpak-Version des Emulators sowie Windows- und macOS-Builds waren nicht von dem Angriff betroffen.
Cemu — ein beliebter Emulator für die Nintendo Wii U, der es ermöglicht, Exklusivspiele wie The Legend of Zelda: Breath of the Wild auf PCs zu spielen. Das Projekt wurde 2015 vom niederländischen Entwickler Exzap ins Leben gerufen und war zunächst nur für Windows verfügbar. Der Wendepunkt kam im Jahr 2022, als Cemu den Quellcode unter der MPL 2.0-Lizenz öffnete, was neue Mitwirkende anzog und es ermöglichte, den Emulator auf Linux und macOS zu portieren. Heute ist Cemu in C++ geschrieben und kann nicht nur die Konsole selbst emulieren, sondern auch den GamePad, Pro Controller und unterstützt Eingaben von Tastaturen und Gamepads.
Details zum Vorfall:
- Angriffsvektor: Der Angriff fand auf Ebene der Lieferkette (supply chain attack) statt. Einer der Mitwirkenden des Projekts hat versehentlich ein compromittiertes Python-Paket auf seinem System ausgeführt, was zum Diebstahl seines GitHub-Zugangs-Tokens führte. Mit diesem Token konnten die Angreifer automatisch die 'sauberen' Dateien des Releases durch schadhafte ersetzen.
- Zielgruppe: Der Code richtet sich in erster Linie an Entwickler und DevOps-Ingenieure. Die Schadsoftware stiehlt Anmeldedaten von Cloud-Anbietern, Versionskontrollsystemen und CI/CD.
- Israels „Überraschung“: Ein destruktives Modul für israelische Nutzer wurde identifiziert. Wenn das System aufgrund der Region und der Zeitzone feststellt, dass es sich in Israel befindet, besteht eine Wahrscheinlichkeit von 1 zu 6, dass ein lauter Alarm ertönt und der Befehl rm -rf / ausgeführt wird, der versucht, alle Daten auf der Festplatte zu löschen.
- Umfang: Schätzungen zufolge könnten die infizierten Dateien fast 20.000 Mal heruntergeladen worden sein.
Was tun?
- Setzen Sie alles zurück: Ändern Sie unbedingt alle wichtigen Passwörter, ziehen Sie die SSH-Schlüssel und GitHub-Tokens zurück und generieren Sie diese neu, die im infizierten System gespeichert waren.
- Wenn Sie eine kompromittierte Version ausgeführt haben, ist die sicherste Methode die Neuinstallation des Betriebssystems.
- Das Fehlen offensichtlicher Anzeichen einer Infektion garantiert keine Sicherheit. Die Schadsoftware stiehlt heimlich Daten; der volle Umfang seiner Möglichkeiten ist derzeit unbekannt.
Quelle: linux.org.ru
