Осторожно: под видом демо-версии GTA 6 распространяется опасное вредоносное ПО

Ожидание выхода GTA 6 затягивается, и многие геймеры, стремясь как можно скорее прикоснуться к игре, становятся легкой добычей для киберпреступников. Компания Malwarebytes выявила сеть сайтов, имитирующих официальный ресурс Rockstar Games и предлагающих загрузить «демо-версию» игры. При нажатии на кнопку скачивания пользователь получает файл «gta6_installer.exe», который на деле является опасным вредоносным ПО.

Тревожные сигналы

Помимо того, что Rockstar Games официально не анонсировала никаких демо-версий, существует ряд технических признаков, указывающих на подделку:

Размер установочного файла составляет всего 1,1 МБ. Современные игры класса AAA весят десятки гигабайт, и сжать их до такого размера невозможно.
Скриншот поддельного сайта весит больше, чем сам «установщик».
Версия GTA 6 для ПК еще не была официально представлена.

Сложное вредоносное ПО

Анализ показал, что файл относится к семейству Vidar, работающему по модели «вредоносное ПО как услуга» (MaaS). Его основная цель — кража конфиденциальных данных из браузеров. Чтобы обойти шифрование, программа запускает легитимные браузеры (например, Chrome или Firefox) в скрытом режиме («Headless mode»). В этом режиме браузер сам расшифровывает пароли и файлы cookie для вредоносного ПО, которое затем копирует их и удаляет следы своей активности.

Особая опасность заключается в краже токенов активных сессий. Это позволяет злоумышленникам получать доступ к аккаунтам даже при включенной двухфакторной аутентификации, так как сессия уже считается верифицированной. В случае заражения недостаточно просто сменить пароль — необходимо принудительно завершить все активные сессии на всех устройствах.

Техника «Dead-drop resolvers»

Злоумышленники используют продвинутые методы маскировки. Вместо жесткого кодирования адреса управляющего сервера внутри кода, вредоносное ПО обращается к легитимным профилям в Telegram, Steam или Pinterest. Из них программа получает актуальный адрес сервера управления. Благодаря этому весь трафик выглядит как обычное взаимодействие с доверенными платформами, что позволяет успешно обходить системы защиты.