I Linux-versionerna av Cemu-emulatorn har skadlig programvara upptäckts

Under sex dagar — från 6 till 12 maj 2026 — komprometterades de officiella Linux-versionerna av den populära Wii U-emulatorn Cemu version 2.6. Istället för det rena programmet laddade användarna ner skadlig programvara som stjäl lösenord, SSH-nycklar, GitHub-token och autentiseringsuppgifter för molntjänster. Angriparna lyckades byta ut de binära filerna i det officiella projektets GitHub-repo.

Användare som laddade ner och körde följande var i fara:

• Cemu-2.6-x86_64.AppImage (portabelt paket)
• cemu-2.6-ubuntu-22.04-x64.zip (arkiv för Ubuntu)

Viktigt: Flatpak-versionen av emulatorn, samt Windows- och macOS-versionerna, påverkades inte av attacken.

Cemu är en populär emulator för Nintendo Wii U som möjliggör körning av exklusiva spel, som The Legend of Zelda: Breath of the Wild, på persondatorer. Projektet grundades 2015 av den nederländska utvecklaren Exzap och existerade från början endast för Windows. En vändpunkt inträffade 2022 när Cemu öppnade sin källkod under MPL 2.0-licensen, vilket lockade nya bidragsgivare och möjliggjorde portering av emulatorn till Linux och macOS. Idag är Cemu skriven i C++ och kan emulera inte bara huvudkonsolen utan även GamePad, Pro Controller och stöder inmatning från tangentbord och gamepads.

Detaljer om händelsen:

• Angreppsvetoren: Angreppet genomfördes på leveranskedjan (supply chain attack). En av projektets bidragsgivare körde av en slump ett komprometterat Python-paket, vilket ledde till att hans GitHub-access-token stals. Genom att använda detta token bytte angriparna automatiskt ut 'rena' release-filer mot skadliga.
• Målgrupp: Koden riktar sig framför allt till utvecklare och DevOps-ingenjörer. Den skadliga programvaran stjäl autentiseringsdata för molnleverantörer, versionskontrollsystem och CI/CD.
• Israelska 'överraskningen': En destruktiv modul för israeliska användare har identifierats. Om systemet bedömer att det befinner sig i Israel baserat på lokal och tidszon finns det en sannolikhet på 1 av 6 att en hög siren spelas upp och kommandot rm -rf / körs, vilket försöker radera alla data på disken.
• Omfattning: Enligt preliminära beräkningar kan de infekterade filerna ha laddats ner nästan 20 000 gånger.

Vad gör man

• Återställ allt: Se till att byta ut alla viktiga lösenord, återkalla och generera om SSH-nycklar och GitHub-token som fanns i det infekterade systemet.
• Om du har kört en komprometterad version är det säkraste sättet att installera om operativsystemet.
• Brist på uppenbara tecken på infektion garanterar inte säkerheten. Skadlig programvara stjäl tyst data, och den fulla omfattningen av dess möjligheter är för närvarande okänd.

Källa: linux.org.ru