Sahte PS5 Emülatörü Şifrelerinizi Çalıyor

NordVPN'in tehdit istihbaratı ekibi, PlayStation 5 oyunlarını bilgisayarda oynamak isteyenleri hedefleyen bir sahte PS5 emülatörü kampanyası tespit etti. Şirkete göre AnyPS5 ve KytyPS5 projelerini taklit eden GitHub depoları, emülatör diye sunduğu dosyayla parolaları ve diğer hassas verileri çalmayı amaçlayan bir yazılım yüklüyor.

Sahte Emülatör Depolarının Çalışma Şekli

NordVPN'in 28 Ekim 2026'da basına dağıttığı bültene göre saldırganlar AnyPS5 ve KytyPS5 adlarını taşıyan sahte GitHub depoları kullanıyor. Bu depolar kullanıcıyı Windows'ta çalışan bir dosya içeren zip arşivini indirmeye yönlendiriyor. Şirket depoların sık sık değiştirildiğini ve kampanyanın başka kod barındırma sitelerine de yayılmış olabileceğini belirtiyor. Kaspersky de Şubat 2025'te, bu kampanyadan ayrı olarak GitHub'da inandırıcı görünen sahte depolarla zararlı yazılım yayıldığını duyurmuştu.

NordVPN'in analizine göre indirilen dosya, gizli bir uygulamayı açan taşınabilir bir yükleyici olarak çalışıp çok aşamalı bir yükleme zinciri başlatıyor. Bellek (RAM) 2 GB'tan azsa, sistem sanal makine ya da bulut sunucusuysa veya bilgisayarda fiziksel ekran kartı yoksa yazılım çalışmayı sessizce durduruyor. Bu kontroller, yazılımı inceleyen güvenlik araştırmacılarının test ortamlarını ayırt etmeye yarıyor.

Yazılım Antivirüsten Saklanıyor

NordVPN'e göre yazılım, Microsoft Defender'a dışlama kuralları ekleyerek çalıştığı klasörlerin taranmasını engelliyor. Ardından ticari bir paketleyiciyle korunan son yükü çalıştırıyor. Şirket bu dosyanın büyük olasılıkla parolaları ve diğer hassas verileri çalan bir bilgi hırsızı yazılım olduğunu düşünüyor. Bulaşmadan 2 dakika sonra devreye giren bir temizlik betiği de yazılımın kendi dosyalarını siliyor.

NordVPN, incelediği 2 örneğin 10 Ekim 2026'dan başlayarak 1 gün arayla derlendiğini belirtiyor. Şirkete göre 2 örnek de sahte şirket adlarına düzenlenmiş ve derleme günüyle aynı gün oluşturulmuş kendinden imzalı sertifikalar kullanıyor. NordVPN bunu otomatik ve kampanya odaklı bir üretimin belirtisi olarak görüyor. Şirket son yükün kamuya açık hiçbir kaynakta belgelenmediğini de ekliyor.

NordVPN'in teknoloji direktörü Marijus Briedis, emülasyon meraklılarını kusursuz bir hedef olarak görüyor. Ona göre bu kullanıcılar GitHub'dan deneysel yazılım indirip imzasız dosya çalıştırmaya alışkın olduğu için kampanyada şüpheli bir şey görmüyor. Briedis'e göre dosya bir emülatör değil. Dosya verileri çalıyor, antivirüsten saklanıyor ve kullanıcı bir sorun olduğunu fark etmeden izlerini siliyor.

NordVPN yazılımın adını, kaç sahte depo bulunduğunu, dosyanın kaç kez indirildiğini ve kaç kullanıcının etkilendiğini paylaşmadı. Bültende Türkiye'ye dair bir veri de yok. GitHub'ın kampanyaya yanıtı açıklanmadı. 29 Ekim 2026 itibarıyla bulguları doğrulayan başka bir güvenlik şirketi raporu da bulunmuyor.

PS5 Emülatörlerinin Gerçek Durumu

Bloomberg'in Mart 2026'da yazdığına göre Sony, büyük tek oyunculu oyunlarını PC'ye taşımaktan geri çekildi. Nisan 2026'da da Sony'nin PC pazarından çekilebileceği gündeme gelmişti. 29 Ekim 2026 itibarıyla PS5 oyunlarını bilgisayarda sorunsuz çalıştıran olgun bir emülatör bulunmuyor. Öne çıkan KytyPS5 ve AnyPS5 de deneysel aşamada.

AnyPS5'in resmi deposu projeyi, PS5 oyun dosyalarını Linux ve Windows'a otomatik olarak taşıyan ve emülasyon kullanmayan bir dönüştürücü diye tanımlıyor. NordVPN'in bültenine göre AnyPS5, konsolun ekran kartı (GPU) gölgelendiricilerinin yüzde 100'ünü tersine mühendislikle çözdüğü için öne çıkıyor. Proje sistem kütüphanelerinin de yaklaşık yüzde 90'ını çözmüş durumda. Proje sayfasındaki notta da kütüphane oranının PS5'in bütün sistem fonksiyonlarını değil, projenin o güne kadar tanımladığı fonksiyonları kapsadığı yazıyor.

KytyPS5'in resmi GitHub sayfası projeyi Windows ve Linux için geliştirilen bir PlayStation 5 çeviri katmanı olarak tanımlıyor. Sayfaya göre proje 2D ve 3D oyunları açabiliyor, uyumluluk da sürümden sürüme değişebiliyor. Sık anılan shadPS4 ve RPCS3 sırasıyla PS4 ve PS3 emülatörü olduğu için PS5 oyunlarını açmıyor.

Sahte Depoyu Ayırt Etmenin Yolları

NordVPN önce gerçek projenin sayfasında olduğunuzdan ve deponun resmi proje ekibine ait olduğundan emin olmanızı öneriyor. Şirket az yıldızlı, yeni açılmış ya da indirme bağlantısı başka bir siteye giden benzer depolara karşı uyarıyor. Gerçek projelerin depoları github.com/KytyPS5/KytyPS5 ve github.com/boykopovar/AnyPS5 adreslerinde bulunuyor. AnyPS5'in tarayıcıda çalışan resmi dönüştürücüsü de boykopovar.github.io/AnyPS5 adresinde.

NordVPN antivirüsün kapatılmamasını ve uyarılarının yok sayılmamasını öneriyor. Şirkete göre çalışmak için Defender'dan dışlanmak isteyen bir dosya neredeyse kesinlikle kötü amaçlı. Defender'a eklenen dışlamaları Türkçe Windows'ta Windows Güvenliği > Virüs ve tehdit koruması > Ayarları yönet > Dışlamalar bölümünden görmek mümkün. Şirket, gerçek emülatörlerin görünür bir arayüzü olduğunu hatırlatarak penceresi açılmayan ve hiçbir etkinlik göstermeyen yazılımı uyarı işareti sayıyor.

Şüpheli bir dosyayı çalıştıranlara NordVPN'in önerisi, internet bağlantısını kesip parolalarını başka bir cihazdan değiştirmeleri ve bilgisayarda tam antivirüs taraması yapmaları. Tam taramayı Windows Güvenliği'nin yanında Malwarebytes gibi bir güvenlik programıyla da yapabilirsiniz.

Editörün Yorumu

Sony'nin büyük yapımlarını PC'ye taşımaktan geri çekildiği bildirildikten sonra PC'ye gelmeyecek PS5 oyunları için tek umut bu deneysel projelere kaldı. Saldırganların tam bu ilgiyi seçmesini tesadüf saymıyorum. Öte yandan bulgular tek bir şirketin incelediği 2 örneğe dayanıyor ve şirket yazılımın adını bile paylaşmadı. Büyük bir salgından söz etmek için erken. Ben bir emülatörün indirme bağlantısını yalnızca geliştiricilerin kendi duyurularından alırım.