GTA 6 naprawdę wycieka do sieci, a to stworzyło idealną okazję dla cyberprzestępców. W wynikach wyszukiwania pojawiają się strony podszywające się pod Rockstar Games i oferujące rzekome demo albo grywalną wersję Grand Theft Auto VI. Problem w tym, że żadnego oficjalnego dema nie ma, a plik pobierany po kliknięciu „Play Now” może być infostealerem Vidar. Jego zadaniem nie jest zepsucie Windowsa ani wyświetlanie reklam. Ma po cichu ukraść hasła, pliki cookies oraz aktywne sesje użytkownika, a później dać przestępcom dostęp do jego kont.
Cała historia jest znacznie ciekawsza i groźniejsza niż kolejna kampania z malware podszywającym się pod popularną grę. Tym razem oszuści trafili bowiem na wyjątkowo podatny grunt. 18 sierpnia w sieci zaczęły pojawiać się nowe, nieautoryzowane materiały z GTA 6, w tym fragmenty rozgrywki oraz coś, co miało przedstawiać kompletną mapę Leonidy. Za publikację materiałów odpowiedzialność brała osoba lub grupa posługująca się nazwą Cyberleek. Take-Two zaczęło usuwać materiały, a sprawa szybko zrobiła się na tyle poważna, że firma zwróciła się również o dane mogące pomóc w ustaleniu osób stojących za przeciekiem.
To zmienia bardzo dużo z perspektywy zwykłego gracza. Jeszcze niedawno hasło „pobierz wyciek GTA 6” byłoby właściwie podręcznikowym przykładem internetowego oszustwa. Teraz mamy sytuację, w której nieautoryzowane materiały rzeczywiście krążą w sieci. Cyberprzestępcy nie muszą więc przekonywać nikogo, że Rockstar niespodziewanie opublikował wersję demonstracyjną. Wystarczy zasugerować, że ktoś wyciągnął z firmy kolejny build gry. Prawdziwy wyciek zaczyna w ten sposób uwiarygadniać fałszywe wycieki.
Na ten problem zwrócili uwagę badacze Malwarebytes, którzy przeanalizowali sieć fałszywych stron związanych z GTA 6. Witryny pojawiają się przy wyszukiwaniu informacji o wersji demonstracyjnej i naśladują oficjalne materiały Rockstar Games. Wykorzystują prawdziwe grafiki, informacje o premierze oraz zapowiedzianym pokazie Grand Theft Auto VI: An Extended Look. Do tego wszystkiego dodają jednak jeden element, którego Rockstar nie oferuje: przycisk „Play Now”.
Po jego użyciu gracz może pobrać plik nazwany gta6_installer.exe. Już jego rozmiar powinien zakończyć dalsze eksperymenty, bo rzekomy instalator jednej z największych gier obecnej generacji waży około 1,1 MB. Malwarebytes zauważa nawet, że wykonany przez badaczy zrzut ekranu fałszywej strony był większy od oferowanego na niej „GTA 6”. W rzeczywistości plik należy do rodziny Vidar, czyli dobrze znanych infostealerów sprzedawanych cyberprzestępcom jako gotowe narzędzie do kradzieży danych.
Co istotne, złośliwa próbka została zauważona już 19 sierpnia, czyli zaledwie dzień po rozpoczęciu nowej fali przecieków. Trudno o lepszy przykład tego, jak szybko przestępcy potrafią wykorzystać zainteresowanie dużym wydarzeniem. Sam wyciek GTA 6 jest problemem przede wszystkim dla Rockstar i Take-Two. Fałszywe buildy wykorzystujące ten wyciek jako przynętę stają się natomiast problemem bezpośrednio dla graczy.
Vidar nie potrzebuje przy tym efektownego komunikatu z żądaniem okupu. Jego działanie jest znacznie mniej widowiskowe i właśnie dlatego potencjalnie bardziej niebezpieczne. Analizowana próbka szukała danych w 19 przeglądarkach i profilach, między innymi Chrome, Edge, Firefox, Brave, Opera i Vivaldi. Interesowały ją zapisane dane logowania, hasła, historia przeglądania i pobierania, automatycznie uzupełniane informacje oraz przede wszystkim pliki cookies i aktywne sesje.
Ten ostatni element jest szczególnie ważny dla graczy, którzy słusznie korzystają z uwierzytelniania dwuskładnikowego. 2FA nadal jest jednym z najlepszych sposobów zabezpieczenia konta, ale nie oznacza magicznej odporności na każdy rodzaj ataku. Gdy użytkownik poprawnie loguje się do usługi, przeglądarka otrzymuje token sesji potwierdzający, że uwierzytelnienie już się odbyło. Jeżeli przestępca przejmie taki token, w zależności od zabezpieczeń konkretnego serwisu może próbować wykorzystać istniejącą sesję bez ponownego podawania hasła i kodu 2FA. Na ten sam problem zwrócił uwagę również TechCrunch, opisując kampanię z fałszywym demem GTA 6.
Dlatego po infekcji infostealerem nie wystarczy założyć, że zmiana hasła załatwia sprawę. Malwarebytes zaleca również użycie dostępnych w usługach funkcji pozwalających wylogować konto ze wszystkich urządzeń, unieważnić aktywne sesje i usunąć nierozpoznane urządzenia. Jeżeli ktoś uruchomił podejrzany plik podszywający się pod GTA 6, najbezpieczniej jest przeskanować komputer, a najważniejsze hasła zmieniać z urządzenia, co do którego mamy pewność, że jest czyste. Zacząłbym od poczty, ponieważ przejęcie głównego adresu e-mail często otwiera drogę do resetowania haseł w kolejnych serwisach.
Gracze są zresztą coraz atrakcyjniejszym celem podobnych operacji. Konto Steam czy inne konto gamingowe nie jest dziś tylko loginem pozwalającym uruchomić jedną grę. Może być powiązane z biblioteką budowaną przez kilkanaście lat, zapisami w chmurze, znajomymi, przedmiotami, metodami płatności i historią zakupów. Na BigBadDice opisywaliśmy już przypadek, w którym malware ukrywało się w materiałach publikowanych przez Steam Workshop i mogło przejmować konta graczy. Tam przynętą była zawartość pobierana z platformy, której użytkownicy ufają. Tutaj jest nią najbardziej wyczekiwana gra ostatnich lat.
Rockstar również ma za sobą wyjątkowo burzliwy okres pod względem bezpieczeństwa. Jeszcze w kwietniu pisaliśmy o kolejnym incydencie dotyczącym Rockstar Games i groźbie wycieku danych. Do tego dochodzi słynny atak z 2022 roku, w którym do internetu trafiły dziesiątki materiałów z wczesnej wersji GTA 6. Dzisiejsza sytuacja pokazuje dodatkową konsekwencję takich wydarzeń. Każdy prawdziwy przeciek zmniejsza sceptycyzm graczy wobec następnego pliku podpisanego jako „leaked build”.
W przypadku obecnego „dema” sytuacja jest jednak całkowicie jednoznaczna. Rockstar oficjalnie zapowiada Grand Theft Auto VI na 19 listopada 2026 roku na PlayStation 5 i Xbox Series X|S. Firma nie ogłosiła wersji PC ani grywalnego dema. Zaplanowany na 27 sierpnia Grand Theft Auto VI: An Extended Look jest oficjalnym pokazem gry publikowanym na Netflixie, YouTube i stronie Rockstar. To materiał do oglądania, a nie instalator do pobrania.
Nie oznacza to oczywiście, że gdzieś w internecie nie może istnieć prawdziwy wewnętrzny build GTA 6. Obecne przecieki są najlepszym dowodem na to, że nieautoryzowane materiały potrafią wydostać się poza firmę. Dla zwykłego użytkownika nie istnieje jednak rozsądny sposób na sprawdzenie, czy archiwum znalezione na losowej stronie, Discordzie lub torrentach rzeczywiście zawiera wykradzioną grę, czy jedynie malware przygotowane przez kogoś, kto świetnie wykorzystuje aktualny hype.
I właśnie tutaj jest największy problem całej sytuacji. Prawdziwy wyciek GTA 6 stał się najlepszą reklamą dla fałszywego wycieku GTA 6. Cyberprzestępcy nie potrzebują nawet szczególnie wyszukanej historii. Wystarczy, że gracz pomyśli: „skoro tamte nagrania były prawdziwe, może ten build też jest”. Ta jedna chwila ciekawości może kosztować znacznie więcej niż spoiler dotyczący Vice City. Oficjalnego dema GTA 6 obecnie nie ma, więc żaden plik obiecujący wcześniejszy dostęp do gry nie jest wart ryzyka utraty poczty, Discorda, Steama czy całej cyfrowej biblioteki.
