Tatsächlich sind im Internet Videos zu GTA 6 aufgetaucht, und Rockstar veröffentlicht am 27. August einen offiziellen Extended Look auf Netflix. Doch Cyberkriminelle nutzen den Hype aus und betreiben gefälschte Rockstar-Websites, die Besucher auf Malware zum Stehlen von Passwörtern weiterleiten.
Wir haben ein Netzwerk von Webseiten identifiziert, die bei der Suche nach einer GTA 6-Demo erscheinen und sich als Rockstar Games ausgeben. Ein Google-Suchergebnis wirbt mit einem „Offiziellen Download“, doch Besucher, die den „Jetzt spielen“-Links der Seiten folgen, laden stattdessen möglicherweise eine gefälschte Version herunter. gta6_installer.exe.
Die Webseiten wirken besonders überzeugend, da sie Rockstars offizielle Werbung für die erweiterte Vorschau auf GTA 6 am 27. August täuschend echt kopieren. Doch die angebotene Datei ist weder eine Demo noch ein Spiel oder ein Video. Es handelt sich um einen Datendieb, der Passwörter aus Browsern, Cookies und authentifizierten Sitzungen stiehlt. Da gestohlene Browsersitzungen manchmal ohne erneuten Anmeldevorgang wiederverwendet werden können, reicht selbst die Zwei-Faktor-Authentifizierung (2FA) möglicherweise nicht aus, um sie zu stoppen.
Es gibt keine GTA 6-Demo.
Rockstar hat weder eine Ankündigung noch eine Demo von Grand angekündigt oder veröffentlicht. Theft Auto VI.
Das Spiel soll am 19. November 2026 für PlayStation 5 und Xbox Series erscheinen. X |S. Rockstar hat keine PC-Version angekündigt.
Rockstar hat angekündigt, am 27. August einen erweiterten Einblick in GTA 6 zu gewähren, der zunächst auf Netflix und anschließend auf anderen Plattformen veröffentlicht wird. YouTube Später am selben Tag auf dem Kanal. Das ist etwas zum Anschauen, keine spielbare Demo oder ein Spiel-Download.
Die Betrugsseiten kopieren diese echte Ankündigung und verwenden dabei „Jetzt spielen“-Schaltflächen, die Besucher zu der schädlichen ausführbaren Datei weiterleiten können.
Anders ausgedrückt: Es gibt keine offizielle GTA 6-Demo oder PC-Version zum Download. Dies ist nicht das erste gefälschte GTA 6-Angebot, das uns begegnet. Anfang des Jahres verlangten Betrüger Hunderte von Dollar für angeblichen Vorabzugang zu GTA 6 .
Auch die Dateigröße sollte sofort Verdacht erregen. Die von diesen Seiten angebotene ausführbare Datei ist gerade einmal 1,1 MB groß. Das reicht bei Weitem nicht aus, um ein modernes AAA-Spiel zu enthalten. Tatsächlich ist der Screenshot einer der Webseiten größer als die angebotene Datei.
Durch das Leck entstand die Öffnung
Am 18. August tauchten im Internet neue Gameplay-Videos von GTA 6 und eine scheinbar vollständige Karte von Leonida, dem Schauplatz des Spiels, auf. Eine Person oder Gruppe namens Cyberleek bekannte sich zu der Veröffentlichung.
Rockstar und Take-Two reagierten mit Löschungsanzeigen. Take-Two reichte DMCA-Vorladungen ein, um von Microsoft und Discord Aufzeichnungen zu erhalten, die helfen könnten, denjenigen zu identifizieren, der hinter den Leaks steckt.
Der böswillige gta6_installer.exe Die Probe wurde erstmals am 19. August entdeckt, nur einen Tag nachdem das erste Cyberleek-Material im Umlauf war.
Offenbar kursierten bereits authentische, nicht inoffizielle GTA 6-Materialien, was denjenigen, die nach durchgesickertem Videomaterial, Karten oder inoffiziellen Versionen suchten, Anlass zu der Annahme gab, dass es noch mehr davon geben könnte.
Doch nicht nur echte Leaks buhlten um Aufmerksamkeit. Durchgesickerte Clips enthielten Werbematerial für einen mit Cyberleek verbundenen Kryptowährungstoken, während Cyberleeks Website um Kryptowährungsspenden bat und bezahlte Werbeplätze in zukünftigen GTA-6-Videos anbot. Auch KI-generiertes und wiederverwendetes Material wurde in den sozialen Medien als neue Leaks präsentiert.
Es ist nicht das erste Mal, dass GTA 6 von einem größeren Leak betroffen ist. 2022 bestätigte Rockstar, dass ein Angreifer Entwicklungsaufnahmen des Spiels gestohlen und veröffentlicht hatte.
Durch Leaks entsteht genau die Art von Umfeld, die Malware-Betreiber ausnutzen können: eine riesige Nachfrage nach inoffiziellem Material, vermischt mit Fälschungen, Werbeaktionen, Betrugsmaschen und echten Leaks, die alle täuschend ähnlich aussehen können.
Die gefälschte GTA 6-Demo ist ein weiterer Teil dieses Ökosystems, allerdings ein Teil, der darauf ausgelegt ist, Passwörter und angemeldete Browsersitzungen zu stehlen.
Was die Datei tatsächlich bewirkt
Das Installationsprogramm gehört zur Vidar-Familie, einem bekannten Infostealer , den wir bereits in anderen Malware-Kampagnen der letzten Zeit gesehen haben und der als Dienstleistung an Cyberkriminelle verkauft wird. Malwarebytes erkennt dieses Sample und blockiert die mit der Kampagne verbundenen Websites und Netzwerkinfrastruktur.
Vidar wurde entwickelt, um die von Browsern gespeicherten Informationen zu stehlen. Dadurch könnten Angreifer Zugriff auf Konten wie Ihre E-Mail-, Social-Media-, Spiele- und Online-Shop-Konten erhalten.
In diesem Beispiel wurde Folgendes gesucht:
- Gespeicherte Passwörter und Anmeldedaten
- Sitzungscookies
- Browser- und Downloadverlauf
- Autofill und andere gespeicherte Browserprofildaten
- Von FTP-Clients gespeicherte Anmeldeinformationen
Unsere Analyse ergab 19 Browser-Ziele, darunter Chrome , Edge Es durchsuchte Firefox, Brave, Opera und Vivaldi. Außerdem durchsuchte es Thunderbird-Profilverzeichnisse und zielte auf den Comet-Browser von Perplexity sowie den in Roblox Studio integrierten WebView2-Browser ab.
Der Verhaltensbericht zeigte keinen Mechanismus, der es der Malware ermöglichen würde, einen Neustart zu überstehen. Wir konnten keinen Autostart-Eintrag, keine geplante Aufgabe und keinen installierten Dienst feststellen, der sie automatisch neu starten würde.
Ein Infostealer muss jedoch nicht dauerhaft auf Ihrem Computer verbleiben, um dauerhaften Schaden anzurichten. Sobald Passwörter oder Sitzungstoken gestohlen wurden, können Angreifer weiterhin versuchen, diese zu verwenden, selbst nachdem die Schadsoftware selbst entfernt wurde.
Das ist ein Grund, warum eine Infektion leicht übersehen werden kann. In unserer Analyse erzeugte sie kein sichtbares Benutzerfenster und installierte nichts, was ein Benutzer normalerweise bemerken würde. Aus Sicht des Opfers scheint der vermeintliche GTA-6-Installer einfach keine Funktion zu haben.
Warum ein Passwortwechsel möglicherweise nicht ausreicht
Wer einen Passwortmanager und einzigartige Passwörter verwendet, könnte annehmen, dass es für einen Datendieb nur wenige nützliche Informationen gibt, die er direkt aus dem Browser entnehmen kann.
Session-Cookies ändern das.
Wenn Sie sich auf einer Website anmelden, sendet die Website Ihrem Browser ein Sitzungstoken, das ihm signalisiert, dass Sie bereits authentifiziert sind. Deshalb müssen Sie Ihr Passwort nicht jedes Mal eingeben, wenn Sie eine neue Seite öffnen.
Wenn ein Angreifer ein verwendbares Sitzungstoken stiehlt, kann er diese authentifizierte Sitzung möglicherweise wiederverwenden, ohne den normalen Anmeldevorgang erneut durchlaufen zu müssen.
Das gilt auch für die Zwei-Faktor-Authentifizierung (2FA). 2FA schützt zwar den Anmeldevorgang, doch wurde nach erfolgreicher Anmeldung eine gestohlene Sitzung erstellt. Je nach Dienst und dessen Sicherheitsvorkehrungen kann ein Angreifer diese Sitzung daher möglicherweise wiederverwenden, ohne erneut nach Ihrem Passwort oder der 2FA gefragt zu werden.
Deshalb reicht es unter Umständen nicht aus, nach einer Stealer-Infektion lediglich das Passwort zu ändern. Eine Passwortänderung führt nicht zwangsläufig zur Ungültigkeit aller bestehenden Sitzungen.
Sie sollten auch die Option des Dienstes nutzen, sich überall abzumelden, aktive Sitzungen zu widerrufen oder unbekannte Geräte zu entfernen.
Wie Sie sich schützen können
- Prüfen Sie, ob es sich um eine offizielle Version handelt. Gehen Sie nicht davon aus, dass eine inoffizielle Demo, Beta, frühe Version oder ein Leak legitim ist, nur weil das Spiel noch nicht erschienen ist. Besuchen Sie zuerst die offizielle Website und die Shop-Seiten des Publishers.
- Nutzen Sie offizielle Downloadquellen. Laden Sie Spiele und Demos ausschließlich von offiziellen Quellen wie Steam, dem Epic Games Store, dem PlayStation Store, Xbox oder der Website des jeweiligen Herausgebers herunter.
- Überprüfen Sie die Dateigröße. Eine ein Megabyte große ausführbare Datei kann kein modernes AAA-Spiel enthalten.
- Vertrauen Sie nicht den Suchergebnissen. Angreifer können Anzeigen schalten und manipulierte Seiten genau auf die Suchbegriffe optimieren, die Menschen während wichtiger Nachrichtenereignisse eingeben.
- Traue nicht dem Schein. Offizielle Grafiken, Logos, Screenshots und Seitenlayouts lassen sich leicht kopieren.
- Seien Sie vorsichtig mit geleakten Inhalten. Es gibt definitionsgemäß keinen offiziellen Vertriebskanal, der Ihnen die Echtheit eines Downloads bestätigen kann. Falls Sie GTA 6-Gameplay sehen möchten: Rockstars offizieller „Extended Look“ erscheint am 27. August.
- Schädliche Websites blockieren. Malwarebytes Browser Guard blockiert schädliche Seiten wie diese, bevor sie geladen werden, und hilft so, den Angriff zu stoppen, bevor ein Download Ihren Computer erreicht.
Was tun, wenn Sie es ausgeführt haben?
Falls Sie einen vermeintlichen GTA 6 Demo-Installer heruntergeladen und ausgeführt haben, gehen Sie davon aus, dass Ihre Zugangsdaten und aktiven Browsersitzungen auf diesem Computer möglicherweise kompromittiert wurden.
Führen Sie die folgenden Schritte durch:
- Scannen Sie den betroffenen Computer mit Malwarebytes oder einem anderen vertrauenswürdigen Sicherheitsprodukt und entfernen Sie alles, was dabei gefunden wird.
- Verwenden Sie ein sauberes Gerät, um wichtige Passwörter zu ändern , beginnend mit Ihrem primären E-Mail-Konto, gefolgt von Bank-, Zahlungsdienst- und allen Konten, die mit Ihrer Identität verknüpft sind.
- Melden Sie sich überall von aktiven Sitzungen ab, wo es möglich ist. Achten Sie auf Optionen wie „Überall abmelden“, „Von allen Geräten abmelden“ oder „Aktive Sitzungen“. Dadurch werden gestohlene Sitzungs-Cookies und -Tokens abgefangen.
- Prüfen Sie Ihre Konten auf Änderungen, die Sie nicht vorgenommen haben , einschließlich neuer E-Mail-Weiterleitungsregeln, Wiederherstellungsadressen, Telefonnummern, autorisierter Anwendungen und unbekannter Geräte.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung für Konten, die diese noch nicht verwenden.
- Wichtige Konten sollten in den folgenden Wochen genau auf ungewöhnliche Aktivitäten überwacht werden .
Überprüfen Sie auch Ihre Spielekonten. Steam-, Epic- und ähnliche Konten können gespeicherte Zahlungsmethoden, wertvolle Inventare und Zugänge zu anderen Diensten enthalten.
Technische Einzelheiten
Es verwendet Ihren eigenen Browser, um Ihre Daten freizuschalten.
Browser verwenden zunehmend stärkere Verschlüsselung und anwendungsweite Schutzmechanismen für gespeicherte Passwörter und Cookies. Insbesondere Chromium-basierte Browser erschweren es fremder Software, einfach eine Datenbank zu kopieren und alle Daten direkt zu entschlüsseln.
Dieses Beispiel verwendet einen anderen Ansatz.
Während unserer Analyse wurde das eigentliche Chrome , Edge und die auf dem System installierten Firefox-Programme. Diese wurden im Headless-Modus gestartet, die Protokollierung deaktiviert und jedes Programm auf ein temporäres Benutzerdatenverzeichnis verwiesen.
Mit anderen Worten: Es wurde kein gefälschter Browser gestartet. Es wurden legitime Browser-Binärdateien verwendet, denen das System bereits vertraute.
Es geht darum, mit einem Browserprozess zu arbeiten, der auf seine eigenen geschützten Daten zugreifen kann, anstatt zu versuchen, diese Schutzmechanismen von außen zu umgehen.
Anschließend erteilte die Schadsoftware Befehle zum Löschen der von ihr erstellten temporären Browserverzeichnisse.
Der Schutz wurde nicht unbedingt durchbrochen. Er wurde durch Software umgangen, die bereits zur Nutzung berechtigt ist.
Das ist ein wichtiger Unterschied, denn die Verschlüsselung auf Browserebene erschwert zwar den Diebstahl von Zugangsdaten, kann aber das Ausführen einer unbekannten ausführbaren Datei nicht sicher machen.
Die Lieferadresse kann aus einem Social-Media-Profil stammen.
Vidar ist dafür bekannt, sogenannte Dead-Drop-Resolver zu verwenden.
Anstatt sich nur auf eine fest in der Malware eingebettete Command-and-Control-Adresse zu verlassen, können Vidar-Varianten das aktuelle Ziel aus von Angreifern kontrollierten Profilen abrufen, die auf legitimen Diensten wie Telegram und Steam gehostet werden.
Dadurch wird die Infrastruktur leichter austauschbar: Die Betreiber können ein Profil aktualisieren, anstatt die Malware neu zu erstellen und erneut zu verteilen.
Die von uns beobachtete Aktivität stimmt mit diesem Muster überein.
Die Stichprobe enthielt Profil-URLs für Telegram, Pinterest und Steam Community, und während der Analyse wurden Netzwerkverbindungen zu allen drei Diensten beobachtet.
Es kommunizierte auch mit der Infrastruktur des Angreifers. Insbesondere sendete es mehrteilige POST-Anfragen an ses.1001gacor.org.
Das Sample stellte außerdem eine TLS-Verbindung her zu ket.sm188daftar.mom.
Entscheidend ist, dass der Datenverkehr zu legitimen Diensten wie Telegram, Pinterest oder Steam sich unauffällig in den normalen Netzwerkverkehr einfügen kann. Die Blockierung eines einzelnen schädlichen Servers ist zudem weniger effektiv, wenn die Malware über andere Quellen verfügt, um ihre Infrastruktur zu aktualisieren.
Indikatoren für Kompromittierung (IOCs)
Vertriebsstandorte
gta6demo[.]asiagta6demo[.]eugta6demo[.]usrockstar-gta-6[.]com
Datei-Hash (SHA-256)
a8f19d598e6a49d8510d73d41fc445246755ed321c2f76985a463a9fef537eb0 (gta6_installer.exe)
Dead-Drop-Resolver-URLs
telegram[.]me/m1duust[.]me/m1duuspinterest[.]com/m1duussteamcommunity[.]com/profiles/76561198657426610
In dieser Stichprobe beobachtete Netzwerkinfrastruktur
ses.1001gacor[.]orgket.sm188daftar[.]mom
Zusätzliche Vidar-Infrastruktur
ket.1001gacor[.]orgljr.1001gacor[.]orgnhg.1001gacor[.]orgbob.1001gacor[.]orgkra.1001gacor[.]orgbrr.1001gacor[.]orgsto.1001gacor[.]orgrex.1001gacor[.]orgbib.1001gacor[.]orgges.1001gacor[.]orgtax.11gokil[.]orgsii.11gokil[.]orgzaf.11gokil[.]orgdez.11gokil[.]orgtax.sm188dnsx[.]topsii.sm188dnsx[.]topzaf.sm188dnsx[.]top
„Eine der besten Cybersicherheits-Suiten weltweit.“
Laut CNET.Lesen Sie den Testbericht →
