Tra il 6 e il 12 maggio 2026, le versioni ufficiali di Linux del popolare emulatore Wii U Cemu versione 2.6 sono state compromesse. Invece di ricevere il programma originale, gli utenti hanno scaricato malware che rubava password, chiavi SSH, token GitHub e credenziali per servizi cloud. I malintenzionati sono riusciti a sostituire i file binari nel repository ufficiale del progetto su GitHub.
Sono a rischio gli utenti che hanno scaricato e avviato:
- Cemu-2.6-x86_64.AppImage (pacchetto portatile)
- cemu-2.6-ubuntu-22.04-x64.zip (archivio per Ubuntu)
Importante: La versione Flatpak dell'emulatore, le versioni per Windows e macOS non sono state interessate dall'attacco.
Cemu è un popolare emulatore Nintendo Wii U che consente di eseguire giochi esclusivi, come The Legend of Zelda: Breath of the Wild, su computer. Il progetto è stato creato nel 2015 dal developer olandese Exzap ed inizialmente era disponibile solo per Windows. Un momento cruciale è avvenuto nel 2022, quando Cemu ha reso il codice sorgente disponibile con licenza MPL 2.0, attirando nuovi contributori e consentendo di portare l'emulatore su Linux e macOS. Oggi Cemu è scritto in C++ e può emulare non solo la console principale, ma anche il GamePad, il Pro Controller, supportando anche l'input da tastiera e gamepad.
Dettagli dell'incidente:
- Vettore di attacco: L'attacco è avvenuto a livello della catena di fornitura (supply chain attack). Uno dei collaboratori del progetto ha accidentalmente eseguito un pacchetto Python compromesso, portando al furto del suo token di accesso GitHub. Utilizzando questo token, gli aggressori hanno automaticamente sovrascritto i file di rilascio 'puliti' con quelli dannosi.
- Pubblico target: Il codice è principalmente destinato a sviluppatori e ingegneri DevOps. Il malware ruba dati di autenticazione da fornitori cloud, sistemi di controllo versione e CI/CD.
- Sorpresa israeliana: È stato identificato un modulo distruttivo per gli utenti israeliani. Se il sistema determina, in base alla località e al fuso orario, che si trova in Israele, c'è una probabilità di 1 su 6 che si attivi un'allerta sonora forte e venga eseguito il comando rm -rf /, che tenta di distruggere tutti i dati sul disco.
- Scalabilità: Secondo stime preliminari, i file infetti potrebbero essere stati scaricati quasi 20.000 volte.
Cosa fare
- Resetta tutto: Assicurati di cambiare tutte le password importanti, revoca e rigenera le chiavi SSH e i token GitHub che erano memorizzati nel sistema compromesso.
- Se hai eseguito una versione compromessa, il modo più sicuro è reinstallare il sistema operativo.
- L'assenza di segni evidenti di infezione non garantisce la sicurezza. Il malware ruba silenziosamente i dati, e al momento non si conosce l'intero spettro delle sue capacità.
Fonte: linux.org.ru
