Хакери използват фалшиви изтегляния на GTA 6 за разпространение на RAT, крадци на информация и унищожаващ данни зловреден код

Киберпрестъпниците се възползват от огромния интерес към Grand Theft Auto VI, като разпространяват фалшиви файлове за изтегляне на играта, които инсталират няколко вида зловреден софтуер вместо игра, която може да се играе. Кампанията е насочена към хора, търсещи ранна версия, изтекъл екземпляр или неофициална демо версия преди излизането на заглавието.

Злонамерените файлове за изтегляне се разпространяват чрез отровени резултати от търсенето, форуми за игри, торент сайтове и публикации в социалните мрежи. Някои от фалшивите ISO файлове надвишават 100GB, но големият размер е основно ненужни данни, предназначени да направят изтеглянето да изглежда достоверно.

Анализатори от Huntress идентифицираха мостра, която комбинира зловреден софтуер за отдалечен достъп, софтуер за кражба на информация (infostealer), ransomware за унищожаване на файлове и допълнителен уеб браузър в един пакет.

Използването на съобщения на руски език и бележка за откуп на руски подсказва, че операцията може да е насочена предимно към рускоезични геймъри.

От Huntress заявяват в доклад, споделен с Cyber Security News (CSN), че кампанията злоупотребява с липсата на каквато и да е легитимна демо версия на GTA 6 или изтекла версия, която може да се играе.

Случаят показва как дълго чакано заглавие на игра може да превърне обикновените търсения в маршрут за компрометиране на устройството, подобно на по-ранни активности с фалшиви демо версии на GTA 6 със зловреден код, насочени към нетърпеливи играчи.

Фалшивите файлове за изтегляне на GTA 6 доставят множество заплахи

Заразата започва, когато жертвата монтира фалшивия образ на играта и стартира това, което изглежда като инсталационна програма. Основната програма използва по-стара икона в стил GTA 5, след което показва съобщение на руски език, предупреждаващо, че предполагаемата изтекла игра може да не се стартира, тъй като нейната кракната версия вече не е валидна.

Това предупреждение е част от измамата. След приключване на инсталацията жертвите виждат грешка „лицензът не е намерен“, което им дава достоверна причина защо играта не се е отворила, докато в заден план тихо се изпълнява зловреден софтуер.

Този подход помага на атакуващите да забавят пораждането на съмнение и дава на техния злонамерен код повече време да действа. Пакетът пуска няколко файла във временната папка на Windows и проверява дали устройството има достъп до интернет, преди да продължи.

След това той инсталира множество копия на NJRAT – инструмент за отдалечен достъп, който може да позволи на атакуващ да записва натиснатите клавиши, да прави екранни снимки, да осъществява достъп до уеб камери, да преглежда файлове, да краде данни от браузъра и да управлява системата отдалечено.

Атакуващите също така внедряват DCRAT – друг инструмент за отдалечен достъп, който може да наблюдава прозорци, да прихваща съдържанието на клипборда, да открива аудио устройства и да променя настройките на системния регистър.

Той променя файла hosts на Windows, за да блокира избрани услуги за телеметрия и докладване за сигурност – тактика, която може да намали вероятността инфекцията да бъде забелязана или докладвана.

Отделен компонент, Mercurial Grabber, събира пароли и бисквитки от браузъра, токени от платформи за чат, данни за сесии, свързани с игри, екранни снимки, системни детайли, информация за местоположението и продуктови ключове за Windows.

Кампанията отразява същия широк риск, наблюдаван при SEO кампанията с отровени файлове за изтегляне, където изглеждащи като доверени резултати от търсенето водят потребителите до зловредни инсталационни програми.

Ransomware, използван като чистач (Wiper)

Най-разрушителната част от пакета е Chaos ransomware, въпреки че операторите изглежда нямат интерес да събират плащане.

Вместо това зловредният софтуер действа като wiper (чистач), като кодира по-малките файлове и презаписва файловете, по-големи от 200MB, със случайни данни, което ги прави практически невъзстановими.

Ако заразеният потребител има администраторски права, зловредният софтуер изтрива сенчестите копия (shadow copies) и деактивира опциите за възстановяване, преди да започне унищожаването на файлове.

Той е насочен към често срещани лични папки, споделени локации за данни, запазени игри и облачно синхронизирано хранилище, създавайки пагубен резултат, който може да се разпростре и извън самото устройство.

Ransomware софтуерът оставя бележка, твърдейки, че файловете са кодирани завинаги, вместо да даде на жертвите реален път за възстановяване.

Това поведение прави кампанията особено опасна за геймъри, които може да очакват само кражба на пароли, но вместо това губят документи, снимки, запазени прогреси на игри и локално съхранявани работни файлове.

Потребителите трябва да избягват предполагаеми неездадени игри, пиратски инсталационни програми и страници за изтегляне, популяризирани чрез непознати резултати от търсенето.

Манипулирането на резултатите от търсенето остава повтарящ се метод за доставка, както се вижда от резултатите от търсене на зловреден софтуер, които имитират легитимни източници за изтегляне, за да подмамят потребителите на Windows.

Всеки, който е стартирал подозрителен инсталационен файл на GTA 6, трябва незабавно да изключи устройството си от мрежата, да нулира паролите си от чисто устройство, да активира двуфакторна автентификация и да извърши пълна преинсталация на системата.

Поддържането на защитите за сигурност актуализирани също може да помогне за откриването на по-старите семейства зловреден софтуер, използвани в тази операция. Кампанията е напомняне, че популярните игри създават готови възможности за социално инженерство.

Играчите трябва да изчакват съобщения и файлове за изтегляне от официалните канали на издателя, вместо да се доверяват на твърдения за изтекли версии, торент списъци или публикации, обещаващи ранен достъп.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване на имена или генериране на хипервръзки. Възстановете ги само в рамките на контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.

Поддържайте вашия SOC център информиран за активния зловреден софтуер и фишинг в рамките на 24 часа от появата им. Изпробвайте ANYRUN за предотвратяване на инциденти с ранно откриване.