Se ha detectado una campaña de malware que utiliza una demo falsa de Grand Theft Auto VI para engañar a los usuarios que buscan acceso anticipado al juego. A través de sitios web que suplantan la identidad de Rockstar, los atacantes inducen a las víctimas a instalar un software que roba contraseñas y sesiones activas del navegador en dispositivos Windows.

Se está utilizando una demo falsa de Grand Theft Auto VI para robar contraseñas y sesiones activas de navegador a personas que buscan acceso anticipado.

La campaña convierte la emoción por las imágenes del juego y un próximo video oficial en una ruta para instalar un ladrón de información en dispositivos Windows.

La trampa comienza con sitios web convincentes que suplantan a Rockstar Games y aparecen en las búsquedas de una demo de GTA 6. Sus botones de descarga y "Jugar ahora", que parecen oficiales, entregan un ejecutable malicioso en lugar de un juego, un video o una versión de prueba jugable.

Malwarebytes identificó la campaña y afirmó en un informe que el archivo es un ladrón de información Vidar.

La actividad apareció a medida que el interés público se intensificó después de que clips de juego no autorizados y un supuesto mapa de Leonida comenzaran a circular en línea.

El impacto puede extenderse mucho más allá de una sola cuenta de juego. Una infección exitosa puede exponer correos electrónicos, redes sociales, compras, pagos y cuentas de juegos, mientras que los datos de sesión robados pueden permitir que los criminales entren en cuentas que ya están iniciadas.

Esto convierte a la demo falsa en un riesgo incluso para las personas que utilizan contraseñas únicas y autenticación de dos factores. La preocupación aumenta porque una infección puede pasar desapercibida hasta que los atacantes comiencen a usar los datos robados en otro lugar.

La demo falsa de GTA 6 es en realidad malware

No existe ninguna demo, beta, versión para PC o versión anticipada descargable oficial de GTA 6. El "Extended Look" genuino es un evento de video, pero los estafadores copiaron su arte promocional y lenguaje para que sus páginas parecieran creíbles.

El supuesto instalador tiene solo 1.1 MB, una señal de advertencia inmediata para un juego moderno de lanzamiento importante. El momento es fundamental para el engaño. La muestra maliciosa se vio por primera vez el 19 de agosto, un día después de que el material filtrado comenzara a difundirse.

El interés de búsqueda les dio a los criminales una audiencia lista, tal como las descargas de juegos falsas reportadas previamente han utilizado marcas de entretenimiento conocidas para ocultar software de robo de credenciales.

Una vez ejecutado, el programa no proporciona una ventana de juego visible ni instala algo que tú reconozcas. Los investigadores no encontraron ningún mecanismo de reinicio automático, como una entrada de inicio, tarea o servicio.

En su lugar, puede recopilar silenciosamente inicios de sesión guardados, cookies de sesión, historial de navegación y descargas, información de autocompletado y credenciales almacenadas por clientes FTP. La muestra revisó 19 objetivos de navegadores, incluyendo Chrome, Edge, Firefox, Brave, Opera y Vivaldi.

También buscó datos de Thunderbird y se dirigió a Comet, además del componente de navegador utilizado en Roblox Studio. Vidar ya es una amenaza conocida en los engaños de juegos, como mostró una campaña de trucos de Vidar a principios de este año.

Las sesiones robadas aumentan los riesgos de la cuenta

Las contraseñas no son los únicos datos valiosos almacenados por un navegador. Una cookie de sesión es un pequeño fragmento de datos que le indica a un sitio que tú ya has completado un inicio de sesión.

Si permanece válida después del robo, un atacante podría reutilizarla sin introducir la contraseña ni completar una nueva verificación de dos factores.

Es por eso que un simple restablecimiento de contraseña podría no cerrar la puerta. El malware lanza programas genuinos de Chrome, Edge y Firefox en modo oculto para acceder a la información protegida del navegador y luego elimina las carpetas temporales.

Su enfoque utiliza software ya confiable para leer sus propios datos en lugar de romper visiblemente el cifrado del navegador. El malware también contactó perfiles de Telegram, Pinterest y la comunidad de Steam, que pueden actuar como punteros variables hacia los servidores del atacante.

Realizó conexiones observadas hacia dos destinos maliciosos. Esta mezcla de tráfico web de apariencia normal y robo de credenciales refleja los riesgos que pueden crear las cookies de navegador robadas cuando se reproducen sesiones activas.

Cualquier persona que haya ejecutado el instalador debe escanear la computadora afectada con una herramienta de seguridad confiable y luego usar un dispositivo limpio para cambiar contraseñas importantes, comenzando por el correo electrónico y las cuentas financieras.

Debes cerrar sesión en todas las sesiones, eliminar dispositivos y aplicaciones desconocidos, revisar los detalles de recuperación y vigilar atentamente las cuentas para detectar actividades sospechosas.

La regla más segura es simple: obtén juegos únicamente del editor o de tiendas oficiales establecidas, y trata los anuncios de búsqueda, las versiones filtradas y las descargas sorpresa con precaución.

Revisa el tamaño de los archivos antes de ejecutar cualquier cosa. La exposición de cuentas descrita en un análisis reciente de Vanta Stealer muestra por qué revocar las sesiones es importante junto con el cambio de credenciales.

Indicadores de compromiso (IoCs):-

Tipo	Indicador	Descripción
Dominio	gta6demo[.]asia	Sitio de distribución de demo falsa de GTA 6
Dominio	gta6demo[.]eu	Sitio de distribución de demo falsa de GTA 6
Dominio	gta6demo[.]us	Sitio de distribución de demo falsa de GTA 6
Dominio	rockstar-gta-6[.]com	Sitio de distribución de demo falsa de GTA 6
Nombre de archivo	gta6_installer.exe	Ejecutable malicioso entregado por los sitios de descarga falsos
SHA-256	a8f19d598e6a49d8510d73d41fc445246755ed321c2f76985a463a9fef537eb0	Hash del ejecutable malicioso
URL	telegram[.]me/m1duus	URL de perfil resolvedor dead-drop
URL	t[.]me/m1duus	URL de perfil resolvedor dead-drop
URL	pinterest[.]com/m1duus	URL de perfil resolvedor dead-drop
URL	steamcommunity[.]com/profiles/76561198657426610	URL de perfil resolvedor dead-drop
Dominio	ses.1001gacor[.]org	Infraestructura de red observada en la muestra
Dominio	ket.sm188daftar[.]mom	Infraestructura de red observada en la muestra
Dominio	ket.1001gacor[.]org	Infraestructura adicional de Vidar
Dominio	ljr.1001gacor[.]org	Infraestructura adicional de Vidar
Dominio	nhg.1001gacor[.]org	Infraestructura adicional de Vidar
Dominio	bob.1001gacor[.]org	Infraestructura adicional de Vidar
Dominio	kra.1001gacor[.]org	Infraestructura adicional de Vidar
Dominio	brr.1001gacor[.]org	Infraestructura adicional de Vidar
Dominio	sto.1001gacor[.]org	Infraestructura adicional de Vidar
Dominio	rex.1001gacor[.]org	Infraestructura adicional de Vidar
Dominio	bib.1001gacor[.]org	Infraestructura adicional de Vidar
Dominio	ges.1001gacor[.]org	Infraestructura adicional de Vidar
Dominio	tax.11gokil[.]org	Infraestructura adicional de Vidar
Dominio	sii.11gokil[.]org	Infraestructura adicional de Vidar
Dominio	zaf.11gokil[.]org	Infraestructura adicional de Vidar
Dominio	dez.11gokil[.]org	Infraestructura adicional de Vidar
Dominio	tax.sm188dnsx[.]top	Infraestructura adicional de Vidar
Dominio	sii.sm188dnsx[.]top	Infraestructura adicional de Vidar
Dominio	zaf.sm188dnsx[.]top	Infraestructura adicional de Vidar

Nota: Las direcciones IP y los dominios han sido desactuados intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/fake-gta-6-demo/