אל תפלו בפח: אתרים מתחזים להורדת הדמו של GTA 6 - ומורידים נוזקות למחשב

המשחק שהמעריצים מחכים לו ייצא רק בנובמבר השנה, אבל בינתיים הנוכלים כבר חוגגים. אתרים מזויפים שמתחזים ל-Rockstar Games מנצלים את העניין סביב GTA 6 ומפיצים קובץ בשם gta6_installer.exe שמיועד לגנוב סיסמאות, עוגיות וסשנים פעילים מהדפדפן, לפי ניתוח של חברת הסייבר האמריקאית Malwarebytes. האתרים מופיעים בחיפושים אחר דמו ל-GTA 6, מציגים עצמם כהורדה רשמית ומעתיקים את הקידום האמיתי של Rockstar להצצה מורחבת למשחק שתעלה בנטפליקס ב-27 באוגוסט.

"אין דמו של GTA 6", מדגישים בחברה. רוקסטאר לא הודיעה ולא שחררה דמו של Grand Theft Auto VI, והמשחק עצמו מתוכנן לצאת ב-19 בנובמבר 2026 ל-PlayStation 5 ול-Xbox Series X|S. גרסת PC לא הוכרזה. ההצצה המורחבת של Rockstar ל-GTA 6 אמורה לעלות בנטפליקס ב-27 באוגוסט ובהמשך אותו יום בערוץ היוטיוב שלה - זה וידאו לצפייה, לא דמו ולא הורדה למשחק.

לפי הניתוח, אחת מתוצאות החיפוש בגוגל פרסמה “Official Download”, אבל כפתורי “Play Now” באתרים הובילו להורדת קובץ הפעלה זדוני. גם גודל הקובץ אמור להדליק נורה אדומה: ה"מתקין" שוקל 1.1 MB בלבד, רחוק מאוד מגודל משחק. ב-Malwarebytes אומרים שאפילו צילום המסך שהם לקחו מאחד האתרים היה גדול יותר מהקובץ שהאתר הציע.

עיתוי הפצת הנוזקה אינו מקרי: ב-18 באוגוסט הופצו ברשתות החברתיות קטעי משחק חדשים מתוך GTA 6 לצד מה שנראה כמפה המלאה של מחוז Leonida שבו מתרחש המשחק, וגורם המכנה את עצמו Cyberleek קיבל אחריות למהלך. בתגובה, Rockstar וחברת האם Take-Two החלו בהסרת החומרים, ו-Take-Two אף הגישה צווים משפטיים (זימוני DMCA) למיקרוסופט ולדיסקורד כדי לאתר את המדליפים. קובץ ההתקנה הזדוני gta6_installer.exe זוהה לראשונה כבר למחרת, ב-19 באוגוסט – בדיוק כשהעניין הציבורי סביב ההדלפות הגיע לשיאו.

ההדלפות יצרו בדיוק את הקרקע שהונאות כאלה אוהבות: ביקוש אדיר לחומרים לא רשמיים, לצד זיופים, קידומי מכירות, הונאות והדלפות אמיתיות שנראות דומות מאוד זו לזו.

זו גם לא הפעם הראשונה ש-GTA 6 מסתבך בהדלפה גדולה. ב-2022 Rockstar אישרה שתוקף גנב ופרסם קטעי פיתוח של המשחק. מוקדם יותר השנה, לפי Malwarebytes, נוכלים גבו מאנשים מאות דולרים עבור גישה מוקדמת מזויפת ל-GTA 6.

הקובץ שמופץ באתרים המזויפים שייך למשפחת Vidar, נוזקת גניבת מידע ותיקה שנמכרת כשירות לעברייני סייבר. Malwarebytes מסרה שהיא מזהה את הדגימה וחוסמת את האתרים והתשתיות הקשורים לקמפיין. Vidar מיועדת לגנוב מידע שהדפדפן שומר עבור המשתמש: סיסמאות ופרטי התחברות שמורים, עוגיות סשן, היסטוריית גלישה והורדות, נתוני השלמה אוטומטית ופרופיל דפדפן, וגם פרטי התחברות ששמורים בתוכנות FTP.

בבדיקה נמצאו 19 יעדי דפדפן, בהם Chrome, Edge, Firefox, Brave, Opera ו-Vivaldi. הנוזקה חיפשה גם תיקיות פרופיל של Thunderbird, כיוונה לדפדפן Comet של Perplexity ולדפדפן WebView2 שמוטמע בתוך Roblox Studio. לפי דוח ההתנהגות, לא זוהה מנגנון התמדה שמיועד להחזיר את הנוזקה לפעולה אחרי הפעלה מחדש של המחשב: לא רשומת הפעלה, לא משימה מתוזמנת ולא שירות מותקן.

נוזקת גניבת מידע אינה חייבת להישאר על המחשב כדי לגרום נזק, משום שהתוקפים יכולים להשתמש בסיסמאות ובאסימוני הסשן (Session Tokens) שנגנבו גם זמן רב לאחר שהנוזקה עצמה נמחקה. בניתוח של Malwarebytes נמצא כי הקובץ אינו מציג חלון פעיל ואינו מתקין דבר, כך שמבחינת הקורבן נראה כאילו הפעולה פשוט נכשלה ולא קרה דבר.

זו גם הסיבה שהחלפת סיסמה בלבד אינה מספיקה. אסימון סשן הוא מזהה דיגיטלי זמני שהאתר מעניק לדפדפן לאחר התחברות מוצלחת, והוא משמש כמו "צמיד כניסה" שמוכיח שהמשתמש כבר זוהה כדי שלא יצטרך להקליד סיסמה בכל עמוד מחדש. אם תוקף גונב אסימון כזה, הוא יכול להיכנס לחשבון ישירות כמשתמש מחובר בלי לעבור את תהליך ההתחברות הרגיל. הדבר עוקף גם אימות דו-שלבי (2FA), משום שאימות זה מגן רק על שלב הכניסה הראשוני – בעוד שהאסימון נוצר אחרי שהכניסה כבר אושרה בהצלחה.

ב-Malwarebytes ממליצים לא להניח שדמו, בטא, גרסה מוקדמת או גרסה מודלפת של משחק היא אמיתית רק בגלל שהמשחק עדיין לא יצא. צריך לבדוק קודם את האתר הרשמי של המפיצה ואת עמודי החנויות, ולהוריד משחקים ודמואים רק ממקורות רשמיים כמו Steam, Epic Games Store, PlayStation Store, Xbox או אתר המפיצה. הם גם מזהירים שלא לסמוך על תוצאות חיפוש, משום שתוקפים יכולים לקנות מודעות ולקדם עמודים זדוניים בדיוק סביב הביטויים שאנשים מחפשים בזמן אירוע חדשותי גדול.

מי שהוריד והפעיל מתקין דמו לכאורה של GTA 6 צריך להניח שסיסמאות וסשנים פעילים במחשב הזה עלולים להיות בסכנה. ההמלצה היא לסרוק את המחשב עם Malwarebytes או מוצר אבטחה אמין אחר, להחליף סיסמאות ממכשיר נקי - קודם כל לחשבון המייל הראשי, ואחר כך לבנקים, שירותי תשלום וחשבונות שקשורים לזהות - ולנתק סשנים פעילים בכל שירות שמאפשר זאת באמצעות “sign out everywhere”, “log out of all devices” או “active sessions”. בנוסף מומלץ לבדוק שינויים שלא בוצעו על ידי המשתמש, כמו כללי העברת מיילים חדשים, כתובות שחזור, מספרי טלפון, אפליקציות מורשות ומכשירים לא מוכרים, ולהפעיל אימות דו-שלבי בחשבונות שבהם הוא לא פעיל.

ב-Malwarebytes פרסמו גם מדדי זיהוי לקמפיין: אתרי ההפצה gta6demo[.]asia, gta6demo[.]eu, gta6demo[.]us ו-rockstar-gta-6[.]com, וכן חתימת SHA-256 לקובץ: a8f19d598e6a49d8510d73d41fc445246755ed321c2f76985