Ha nemrég a projekt GitHub-jából töltötted le Linuxra a Cemu emulátort, figyelj: lehet, hogy kártevő került a rendszeredre.

A Wii U emulátor csapata felfedezte, hogy a GitHub-on elérhető Cemu 2.6 mindkét linuxos buildje – a AppImage, valamint az önálló Ubuntu 22.04 ZIP – „kompromittálódott”. A Cemu Flatpak-ját nem érintette a probléma, és a GitHub windowsos és macOS-es telepítői is rendben voltak.

Ha 2026. május 6. és május 12. között a projekt GitHub-jából töltötted le a Cemu 2.6 AppImage-t vagy a Ubuntu 22.04 ZIP-et, vagy olyan külső launchert használtál, ami onnan húzza le, akkor elképzelhető, hogy kompromittált buildet kaptál.

Ha bármilyen Linux disztribúción megnyitottad vagy futtattad, nyugodtan tekintsd úgy, hogy a rendszered érintett.

Ha sosem csomagoltad ki a ZIP-et, és nem futtattad a AppImage-t, akkor töröld a csomagfájlokat (vagy ellenőrizd a hasheket, lásd lentebb), és maradj óvatos.

Hogyan történhetett?

A beszámolók szerint a kompromittálás a projekt egyik saját közreműködőjéhez köthető, aki „lefuttatott egy kompromittált Python csomagot, ami ellopta a GitHub tokenjét. Ezt aztán arra használták, hogy újra feltöltsék a két linuxos bináris kompromittált változatát a Cemu v2.6-os (legfrissebb) kiadásában.”

Az eset az International Cyber Digest nyomon követése szerint egy „összehangolt, ellátási láncot célzó támadássorozat” része lehet, amely széles körben használt nyílt forráskódú eszközöket vesz célba.

A csapat szerint lépéseket tettek annak érdekében, hogy ne fordulhasson elő újra, hogy kártevővel megtömött buildet automatikusan közzétegyenek a GitHub-jukon (ez – mint minden szoftver – sebezhető a „mérgezésre”).

Teendők, ha fertőzött vagy

A csapat által megosztott GYIK további részleteket tartalmaz, és figyelmezteti az izraeli felhasználókat is, mivel a kártevő megpróbálja törölni az országban lévő felhasználók teljes fájlrendszerét. A GYIK a v2.6 ismerten „jó” buildjeinek hash értékeit is megadja, ha ellenőrizni szeretnél egy letöltést.

Jelenleg nincs megbízható módszer annak megállapítására, hogy érintett vagy-e, mivel a csapat szerint „a kártevő teljes képességei” még nem ismertek. Feltételezések szerint hitelesítőadat-gyűjtő, amely felhős jelszavakat, tokeneket, kulcsokat, szolgáltatás-tokeneket, sőt egyes konfigurációkat is ellophat.

A GYIK felsorol néhány fájlt és mappát, amelyeket a kártevő jelenléte esetén létrehozhat, de az, hogy ezek közül egy sem található meg a rendszereden, még nem jelenti azt, hogy biztonságban vagy.

Nyíltan fogalmazva: ha nemrég letöltötted és használtad a Cemu-t, akkor érintett lehetsz, ezért óvatosságból – ha nem is azonnali kényszerből – érdemes újratelepíteni az operációs rendszert. Emellett a lehető leghamarabb állítsd vissza a kritikus jelszavakat, az SSH kulcsokat és a szolgáltatás-tokeneket is.