Tra il 6 e il 12 maggio 2026, le versioni ufficiali del popolare emulatore Wii U Cemu, versione 2.6, sono state compromesse. Invece di scaricare un programma pulito, gli utenti hanno scaricato malware che rubava password, chiavi SSH, token GitHub e credenziali dei servizi cloud. Gli aggressori sono riusciti a sostituire i file binari nel repository ufficiale del progetto su GitHub.
Gli utenti a rischio sono quelli che hanno scaricato e avviato:
- Cemu-2.6-x86_64.AppImage (pacchetto portabile)
- cemu-2.6-ubuntu-22.04-x64.zip (archivio per Ubuntu)
Importante: La versione Flatpak dell'emulatore, le versioni per Windows e macOS non sono state colpite dall'attacco.
Cemu è un popolare emulatore per Nintendo Wii U che permette di eseguire giochi esclusivi, come The Legend of Zelda: Breath of the Wild, su computer personali. Il progetto è stato creato nel 2015 dal developer olandese Exzap e inizialmente esisteva solo per Windows. Un momento cruciale è arrivato nel 2022, quando Cemu ha reso il codice sorgente disponibile sotto licenza MPL 2.0, attirando nuovi contributori e permettendo di portare l'emulatore su Linux e macOS. Oggi Cemu è scritto in C++ e può emulare non solo la console principale, ma anche il GamePad, il Pro Controller e supporta l'input da tastiera e gamepad.
Dettagli sull'accaduto:
- Vettore di attacco: L'attacco è avvenuto a livello della catena di fornitura (supply chain attack). Uno dei contributori del progetto ha accidentalmente eseguito un pacchetto Python compromesso, il che ha portato al furto del suo token di accesso GitHub. Utilizzando questo token, gli aggressori hanno sovrascritto automaticamente i file «puliti» di rilascio con file dannosi.
- Pubblico target: Il codice è destinato principalmente a sviluppatori e ingegneri DevOps. Il malware ruba dati di autenticazione da fornitori di cloud, sistemi di controllo versione e CI/CD.
- Il «surprise» israeliano: è stato identificato un modulo distruttivo per utenti israeliani. Se il sistema identifica la localizzazione e il fuso orario in Israele, c'è una probabilità di 1 su 6 che si attivi un allarme sonoro e venga eseguita la comando rm -rf /, tentando di eliminare tutti i dati sul disco.
- Portata: Secondo le stime preliminari, i file infetti potrebbero essere stati scaricati quasi 20.000 volte.
Cosa fare
- Ripristina tutto: Assicurati di cambiare tutte le password importanti, revoca e rigenera le chiavi SSH e i token GitHub che erano memorizzati nel sistema compromesso.
- Se hai eseguito una versione compromessa, il modo più sicuro è reinstallare il sistema operativo
- L'assenza di segni evidenti di infezione non garantisce sicurezza. Il malware ruba silenziosamente i dati, attualmente non conosciamo l'entità delle sue capacità.
Fonte: linux.org.ru
