La falsa demo de GTA VI que roba contraseñas

La espera para jugar Grand Theft Auto VI se convirtió en una oportunidad para los ciberdelincuentes, ahora, páginas que imitan el sitio de Rockstar Games prometen una demo del videojuego, donde al presionar el botón “Play Now” descargan un programa capaz de robar contraseñas y tomar el control de sesiones abiertas. El archivo se presenta con el nombre gta 6 _installer.exe , como si se tratara del instalador de una versión disponible para juego. Sin embargo, Rockstar no ha anunciado ni distribuido una demo de GTA VI.

Lo que recibe el usuario es una variante de Vidar , que es un malware especializado en extraer información almacenada en los navegadores, de acuerdo con un análisis de la firma de ciberseguridad Malwarebytes. Entre los datos que busca se encuentran contraseñas, cookies de sesión, historial de navegación y descargas, información de autocompletado y credenciales guardadas por otros programas. La campaña tiene como objetivo al menos 19 navegadores, entre ellos Chrome , Edge, Firefox, Brave, Opera y Vivaldi. El malware también revisa perfiles de Thunderbird, el navegador Comet de Perplexity y WebView2, una tecnología utilizada dentro de Roblox Studio. Las páginas fraudulentas copian imágenes, videos, logotipos y otros elementos visuales de Rockstar para aparentar que pertenecen al desarrollador. Algunas consiguieron aparecer en los resultados de Google junto con noticias y contenidos legítimos sobre GTA VI. No obstante, existe una señal que permite detectar rápidamente el engaño: el supuesto instalador pesa sólo 1.1 MB, una capacidad insuficiente para contener un videojuego de gran escala. Malwarebytes señaló que incluso la captura de pantalla tomada al sitio fraudulento pesaba más que el archivo presentado como una demo. Los atacantes también aprovecharon la promoción de “An Extended Look”, el vistazo extendido de GTA VI que Rockstar difundió el 27 de agosto. Las páginas copiaron el anuncio original, pero agregaron un botón falso para jugar y descargar el archivo malicioso. El contenido presentado por Rockstar era solamente una transmisión con más información e imágenes del videojuego, no una demo ni una versión anticipada. El robo de cookies de sesión convierte a esta campaña en un riesgo mayor al de una descarga falsa. Cuando una persona inicia sesión en un correo electrónico, red social, tienda o plataforma de videojuegos, el servicio entrega al navegador un registro para reconocer que el usuario ya comprobó su identidad. Gracias a este mecanismo no es necesario escribir la contraseña cada vez que se abre una página. Si el atacante obtiene esa cookie, puede intentar reutilizar la sesión como si fuera el propietario de la cuenta. En ciertos servicios, esto le permite entrar sin volver a introducir la contraseña ni completar la autenticación de dos factores. La doble autenticación protege el proceso de inicio de sesión, pero la sesión robada fue creada después de que ese control ya se superó. Por ello, cambiar la contraseña después de ejecutar el malware podría no ser suficiente si las sesiones anteriores permanecen abiertas.

Vidar tampoco necesita mantenerse permanentemente en el equipo para causar daño. El archivo analizado no creó una tarea programada, un servicio ni otro mecanismo para ejecutarse cada vez que la computadora se reiniciara. Una vez que las contraseñas y sesiones fueron extraídas, los ciberdelincuentes pueden intentar utilizarlas aunque el programa malicioso ya no se encuentre activo. Además, la descarga no muestra una ventana o advertencia visible: para el usuario, el supuesto instalador simplemente puede parecer un archivo que no funcionó.