Los ciberdelincuentes están aprovechando la gran expectación por Grand Theft Auto VI para distribuir descargas falsas del juego. Estas contienen diversos tipos de malware, como troyanos de acceso remoto (RAT), robadores de información y software de borrado de datos, dirigidos a usuarios que buscan copias filtradas o demos no oficiales a través de foros y resultados de búsqueda manipulados.

Los ciberdelincuentes están aprovechando el intenso interés por Grand Theft Auto VI impulsando descargas falsas del juego que instalan varios tipos de malware en lugar de un juego jugable. La campaña se dirige a personas que buscan una versión preliminar, una copia filtrada o una demo no oficial antes del lanzamiento del título.

Las descargas maliciosas se distribuyen a través de resultados de búsqueda envenenados, foros de juegos, sitios de torrents y publicaciones en redes sociales. Algunos de los archivos ISO falsos superan los 100 GB, pero el gran tamaño es principalmente datos basura destinados a hacer que la descarga parezca creíble.

Analistas de Huntress identificaron una muestra que combinaba malware de acceso remoto, un robador de información, ransomware que destruye archivos y un navegador web adicional en un solo paquete.

El uso de avisos en idioma ruso y una nota de rescate en ruso sugiere que la operación puede estar dirigida principalmente a jugadores que hablan ruso.

Huntress dijo en un informe que la campaña abusa de la ausencia de cualquier demo legítima de GTA 6 o versión jugable filtrada.

El caso muestra cómo el lanzamiento de un juego de alto perfil puede convertir búsquedas ordinarias en una ruta para comprometer tu dispositivo, similar a la actividad anterior de malware de demos falsas de GTA 6 dirigida a jugadores ansiosos.

Descargas falsas de GTA 6 distribuyen múltiples amenazas

La infección comienza cuando montas la imagen falsa del juego e inicias lo que parece ser un instalador. El programa principal utiliza un icono antiguo al estilo de GTA 5, y luego muestra un mensaje en ruso advirtiendo que el supuesto juego filtrado puede fallar porque su "crack" ya no es válido.

Esa advertencia es parte del engaño. Una vez que termina la instalación, verás un error de “licencia no encontrada”, dándote una razón creíble de por qué el juego no se abrió mientras el malware se ejecuta silenciosamente en segundo plano.

Este enfoque ayuda a los atacantes a retrasar las sospechas y da a sus cargas útiles más tiempo para operar. El paquete deposita varios archivos en la carpeta temporal de Windows y verifica si el dispositivo puede acceder a internet antes de continuar.

Luego instala múltiples copias de NJRAT, una herramienta de acceso remoto que puede permitir que un atacante registre tus pulsaciones de teclado, capture capturas de pantalla, acceda a las cámaras web, explore archivos, robe datos del navegador y controle el sistema remotamente.

Los atacantes también despliegan DCRAT, otra herramienta de acceso remoto que puede monitorear ventanas, capturar el portapapeles, descubrir dispositivos de audio y cambiar la configuración del registro.

Cambia el archivo hosts de Windows para bloquear servicios seleccionados de telemetría y reporte de seguridad, una táctica que puede reducir la probabilidad de que la infección sea notada o reportada.

Un componente separado, Mercurial Grabber, recopila contraseñas y cookies del navegador, tokens de plataformas de chat, datos de sesión relacionados con juegos, capturas de pantalla, detalles del sistema, información de ubicación y claves de producto de Windows.

La campaña refleja el mismo riesgo general visto en las campañas de descargas con envenenamiento de SEO, donde resultados de búsqueda que parecen confiables llevan a los usuarios a instaladores convertidos en armas.

Ransomware utilizado como borrador (Wiper)

La parte más dañina del paquete es el ransomware Chaos, aunque los operadores no parecen estar interesados en cobrar el pago.

En su lugar, el malware actúa como un borrador (wiper) cifrando archivos pequeños y sobrescribiendo archivos mayores a 200 MB con datos aleatorios, haciéndolos efectivamente irrecuperables.

Si tienes derechos de administrador, el malware elimina las copias de sombra y desactiva las opciones de recuperación antes de comenzar la destrucción de archivos.

Se dirige a carpetas personales comunes, ubicaciones de datos compartidos, partidas guardadas y almacenamiento sincronizado en la nube, creando un resultado dañino que puede extenderse más allá del dispositivo mismo.

El ransomware deja una nota afirmando que los archivos han sido cifrados para siempre, en lugar de darte una ruta de recuperación genuina.

Ese comportamiento hace que la campaña sea especialmente peligrosa para los jugadores que podrían esperar solo el robo de contraseñas, pero en su lugar pierden documentos, fotos, partidas guardadas y archivos de trabajo almacenados localmente.

Debes evitar los supuestos juegos no lanzados, los instaladores piratas y las páginas de descarga promovidas a través de resultados de búsqueda desconocidos.

La manipulación de los resultados de búsqueda sigue siendo un método de entrega recurrente, como muestran los resultados de búsqueda de software malicioso que imitan fuentes de descarga legítimas para atraer a los usuarios de Windows.

Cualquier persona que haya ejecutado un instalador sospechoso de GTA 6 debe desconectar inmediatamente el dispositivo de la red, restablecer sus contraseñas desde un dispositivo limpio, habilitar la autenticación de dos factores y realizar una reinstalación completa del sistema.

Mantener actualizadas las protecciones de seguridad también puede ayudarte a detectar las familias de malware más antiguas utilizadas en esta operación. La campaña es un recordatorio de que los juegos populares crean una oportunidad de ingeniería social ya preparada.

Debes esperar a los anuncios y descargas de los canales oficiales del editor, en lugar de confiar en afirmaciones de versiones filtradas, listados de torrents o publicaciones que prometen acceso anticipado.

Fuentes:
https://cybersecuritynews.com/fake-gta-6-downloads/