Des faux émulateurs PS5 publiés sur GitHub servent à infecter des ordinateurs Windows avec un logiciel voleur de mots de passe. La campagne, mise au jour fin octobre 2026 par l’équipe de recherche sur les menaces de NordVPN, imite deux projets d’émulation existants, KytyPS5 et AnyPS5, et désactive l’analyse de Microsoft Defender avant de dérober les données.
Que sont ces faux émulateurs PS5 sur GitHub ?
Il s’agit de dépôts GitHub frauduleux qui se font passer pour des émulateurs de PlayStation 5, c’est-à-dire des logiciels censés faire tourner des jeux de la console de Sony sur un ordinateur. Ils reprennent le nom, la présentation et parfois la description de projets réels afin de tromper les internautes qui recherchent ces outils.
Deux projets sont usurpés : KytyPS5 et AnyPS5. Les vrais émulateurs de PS5 en développement sont des logiciels libres et gratuits, encore expérimentaux, ce qui pousse de nombreux joueurs à télécharger des versions récentes directement depuis GitHub, sans passer par une boutique d’applications.
Comment fonctionne le malware caché dans ces émulateurs ?
Le piège repose sur une chaîne d’infection en plusieurs étapes, conçue pour échapper aux protections de Windows. Le visiteur du faux dépôt télécharge une archive ZIP contenant un exécutable Windows, présenté comme l’émulateur.
- L’exécutable est un installeur portable qui décompresse une application cachée et lance un chargeur (loader) en plusieurs phases.
- Le chargeur vérifie d’abord son environnement : il s’arrête sans bruit si l’ordinateur dispose de moins de 2 Go de mémoire vive, s’il s’agit d’une machine virtuelle ou d’un serveur cloud, ou si aucune carte graphique physique n’est détectée.
- Si ces tests sont passés, il ajoute des exclusions dans Microsoft Defender pour les dossiers où il opère, ce qui empêche l’antivirus de Windows de les analyser.
- Il déchiffre puis exécute la charge finale, protégée par un logiciel de compression commercial.
- Environ deux minutes après l’infection, un script de nettoyage efface les fichiers du malware.
Les fichiers étaient en outre signés avec des certificats autosignés au nom de sociétés fictives, émis le jour même de la compilation des échantillons. Les chercheurs y voient le signe d’une campagne industrialisée, produite de manière automatisée.
Quelles données sont volées ?
La charge finale est identifiée comme un infostealer, un type de logiciel malveillant spécialisé dans le vol de données. Il vise en priorité les mots de passe enregistrés sur la machine ainsi que d’autres informations personnelles sensibles.
Le détail précis des données collectées n’a pas été rendu public. Les infostealers ciblent généralement les identifiants mémorisés par les navigateurs, les cookies de session, qui permettent de rester connecté à un site sans ressaisir son mot de passe, ou encore les portefeuilles de cryptomonnaies. Le nombre de victimes et de dépôts concernés n’a pas non plus été communiqué.
Pourquoi les joueurs qui utilisent l’émulation sont-ils visés ?
Les amateurs d’émulation constituent une cible facile, selon NordVPN, car ils ont l’habitude de télécharger des logiciels expérimentaux et d’exécuter des fichiers non signés. Les émulateurs eux-mêmes déclenchent parfois des alertes de l’antivirus, ce qui conduit certains utilisateurs à ignorer ces avertissements ou à désactiver la protection.
L’émulation de la PS5 suscite par ailleurs un intérêt croissant en 2026, porté par les progrès de plusieurs projets libres. Cette popularité offre aux cybercriminels un public nombreux et peu méfiant, à la recherche du dernier exécutable disponible.
Comment reconnaître un faux émulateur PS5 ?
Plusieurs signaux permettent de repérer un dépôt frauduleux avant de télécharger quoi que ce soit :
- le dépôt n’appartient pas au compte officiel de l’équipe qui développe l’émulateur ;
- il a été créé récemment et compte très peu d’étoiles, de contributeurs ou d’historique de modifications ;
- le lien de téléchargement renvoie vers un site extérieur plutôt que vers la section des versions publiées du projet ;
- le logiciel est payant, exige de remplir un questionnaire ou prétend fournir un BIOS de PS5 ou des jeux, ce que ne fait aucun émulateur légitime ;
- le programme demande de désactiver l’antivirus ou d’ajouter une exclusion dans Microsoft Defender.
Un programme qui se lance sans afficher de fenêtre ni d’activité visible doit également alerter.
Que faire si vous avez installé un faux émulateur ?
En cas de doute après l’exécution d’un fichier suspect, la première mesure consiste à déconnecter l’ordinateur d’Internet pour couper la transmission des données. Il faut ensuite changer ses mots de passe depuis un autre appareil, en commençant par la messagerie, les comptes bancaires et les comptes de jeu.
Une analyse complète de l’ordinateur avec l’antivirus, après avoir vérifié et supprimé les éventuelles exclusions ajoutées dans Microsoft Defender, permet de détecter les traces restantes. L’activation de la double authentification sur les comptes sensibles limite enfin l’usage des identifiants déjà dérobés. Les dépôts signalés peuvent être déclarés à GitHub via la fonction de signalement de la plateforme.
