Uma campanha de engenharia social está explorando o interesse global pelo próximo Grand Theft Auto VI para distribuir malware que compromete credenciais e sessões de navegação ativas em dispositivos Windows. A ameaça, identificada pela Malwarebytes, utiliza sites falsos que se passam por distribuidores oficiais para entregar um infostealer conhecido como Vidar.
Descoberta e escopo da campanha
A atividade maliciosa foi observada ganhando tração assim que clipes de gameplay não autorizados e um suposto mapa chamado Leonida começaram a circular online. Os atacantes criaram sites que imitam a identidade visual da Rockstar Games, incluindo logotipos e linguagem promocional do evento "Extended Look". O objetivo é enganar usuários que buscam acesso antecipado ou demos não oficiais do jogo.
Os sites falsos apresentam botões de download e "Play Now" que parecem legítimos, mas redirecionam para a execução de um executável malicioso. O arquivo suspeito tem apenas 1,1 MB, um sinal de alerta imediato, já que jogos modernos geralmente ocupam gigabytes de espaço. A amostra maliciosa foi detectada pela primeira vez em 19 de agosto, um dia após o vazamento do material de gameplay.
Vetor de infecção e comportamento do malware
Uma vez executado, o programa não abre uma janela de jogo visível nem instala algo que a vítima reconheceria como software legítimo. Os pesquisadores não encontraram mecanismos de reinicialização automática, como entradas de inicialização, tarefas ou serviços. Em vez disso, o malware opera silenciosamente para coletar dados sensíveis.
O Vidar é um infostealer conhecido que varre o sistema em busca de credenciais salvas. A amoira analisada verifica 19 alvos de navegador, incluindo Chrome, Edge, Firefox, Brave, Opera e Vivaldi. Além disso, o malware busca dados do Thunderbird e mira no componente do navegador usado no Roblox Studio. Ele também contata perfis no Telegram, Pinterest e Steam Community, que podem atuar como ponteiros alteráveis para servidores de atacantes.
Riscos de sessões roubadas e bypass de autenticação
Um dos aspectos mais críticos desta campanha é o foco em cookies de sessão. Senhas não são os únicos dados valiosos armazenados por um navegador. Um cookie de sessão é um pequeno pedaço de dados que informa a um site que o usuário já completou o login. Se permanecer válido após o roubo, um atacante pode reutilizá-lo sem inserir a senha ou completar uma nova verificação de dois fatores.
Isso significa que uma simples troca de senha pode não fechar a porta para o invasor. O malware lança programas legítimos do Chrome, Edge e Firefox em um modo oculto para acessar informações protegidas do navegador, removendo pastas temporárias em seguida. Sua abordagem usa software já confiável para ler seus próprios dados, em vez de quebrar visivelmente a criptografia do navegador.
Impacto e alcance da ameaça
O impacto pode se estender muito além de uma conta de jogo. Uma infecção bem-sucedida pode expor e-mail, redes sociais, compras, pagamentos e contas de jogos. Dados de sessão roubados podem permitir que criminosos entrem em contas que já estão logadas. Isso torna a demo falsa um risco mesmo para pessoas que usam senhas únicas e autenticação de dois fatores.
A preocupação é agravada porque uma infecção pode permanecer não detectada até que os atacantes comecem a usar os dados roubados em outro lugar. A combinação de tráfego web comum e roubo de credenciais espelha os riscos explicados quando cookies de navegador roubados são reutilizados em sessões ativas.
Medidas de mitigação recomendadas
Qualquer pessoa que executou o instalador deve escanear o computador afetado com uma ferramenta de segurança confiável. Em seguida, use um dispositivo limpo para alterar senhas importantes, começando com e-mail e contas financeiras. Os usuários devem sair de todas as sessões, remover dispositivos e aplicativos não familiares, revisar detalhes de recuperação e monitorar as contas de perto em busca de atividade suspeita.
A regra mais segura é simples: obtenha jogos apenas do editor ou lojas oficiais estabelecidas e trate anúncios de pesquisa, builds vazadas e downloads surpresa com cautela. Verifique o tamanho dos arquivos antes de executar qualquer coisa. A exposição de conta descrita em análises recentes de infostealers mostra por que revogar sessões importa junto com a alteração de credenciais.
Indicadores de comprometimento (IoCs)
Os seguintes indicadores foram observados na infraestrutura da campanha e devem ser monitorados em sistemas de segurança:
- Domínios: gta6demo[.]asia, gta6demo[.]eu, gta6demo[.]us, rockstar-gta-6[.]com
- Nome de arquivo: gta6_installer.exe
- Hash SHA-256: a8f19d598e6a49d8510d73d41fc445246755ed321c2f76985a463a9fef537eb0
- URLs de Dead-drop: telegram[.]me/m1duus, t[.]me/m1duus, pinterest[.]com/m1duus
- Infraestrutura de rede: ses.1001gacor[.]org, ket.sm188daftar[.]mom, e subdomínios relacionados ao 1001gacor e 11gokil
O que os CISOs devem fazer imediatamente
Equipes de segurança devem atualizar as listas de bloqueio de URL e hash com os indicadores fornecidos. A conscientização de usuários finais deve ser reforçada, alertando sobre a ausência de demos oficiais do GTA 6. Monitoramento de tráfego de saída para os domínios maliciosos listados deve ser implementado nos gateways de segurança e proxies.