Durante seis dias, de 6 a 12 de maio de 2026, as versões oficiais do emulador de Wii U Cemu versão 2.6 foram comprometidas. Em vez do programa legítimo, os usuários baixaram malware que roubava senhas, chaves SSH, tokens do GitHub e credenciais de serviços em nuvem. Os criminosos conseguiram substituir os arquivos binários no repositório oficial do projeto no GitHub.
Estiveram em risco os usuários que baixaram e executaram:
- Cemu-2.6-x86_64.AppImage (pacote portátil)
- cemu-2.6-ubuntu-22.04-x64.zip (arquivo para Ubuntu)
Importante: A versão Flatpak do emulador, bem como as compilações para Windows e macOS, não foram afetadas pelo ataque.
Cemu é um popular emulador do Nintendo Wii U, que permite jogar títulos exclusivos, como The Legend of Zelda: Breath of the Wild, em computadores pessoais. O projeto foi criado em 2015 pelo desenvolvedor holandês Exzap e inicialmente existia apenas para Windows. Um ponto de virada ocorreu em 2022, quando o Cemu abriu seu código-fonte sob a licença MPL 2.0, o que atraiu novos contribuidores e permitiu portar o emulador para Linux e macOS. Hoje, o Cemu é escrito em C++ e é capaz de emular não apenas o console principal, mas também o GamePad e o Pro Controller, além de suportar entrada de teclado e gamepads.
Detalhes do ocorrido:
- vetor de ataque: O ataque ocorreu na cadeia de suprimentos (supply chain attack). Um dos contribuidores do projeto acidentalmente executou um pacote Python comprometido, o que levou ao roubo de seu token de acesso do GitHub. Usando esse token, os criminosos substituiram automaticamente os arquivos 'limpos' da versão por arquivos maliciosos.
- Público-alvo: O código é direcionado principalmente a desenvolvedores e engenheiros DevOps. O malware rouba dados de autenticação de provedores de nuvem, sistemas de controle de versão e CI/CD.
- Surpresa israelense: Um módulo destrutivo para usuários israelenses foi identificado. Se o sistema determinar pela localidade e fuso horário que está em Israel, há uma probabilidade de 1 em 6 de que uma sirene alta toque e o comando rm -rf / seja executado, tentando destruir todos os dados no disco.
- Escala: Estima-se que os arquivos infectados tenham sido baixados quase 20.000 vezes.
O que fazer
- Redefina tudo: Certifique-se de alterar todas as senhas importantes, revogar e gerar novamente as chaves SSH e tokens do GitHub que estavam armazenados no sistema comprometido.
- Se você executou uma versão comprometida, a forma mais confiável é reinstalar o sistema operacional.
- A ausência de sinais claros de infecção não garante segurança. O malware rouba dados silenciosamente, e o alcance total de suas capacidades ainda é desconhecido.
Fonte: linux.org.ru
