Хакеры распространяют поддельный образ GTA VI, который заражает компьютеры троянами и стирает файлы до запуска игры

Киберпреступники раздают вредоносные программы под видом утёкших сборок и установщиков GTA VI. Netcraft нашла более 120 новых доменов с фальшивыми загрузками, а Huntress и Malwarebytes разобрали кампании, где вместо игры на компьютер попадали трояны удалённого доступа, похитители паролей и вайпер, уничтожающий файлы. Официальный релиз назначен на 19 ноября 2026 года, версии для ПК и мобильных устройств Rockstar Games не объявляла.

Образ на 100 ГБ без игры

Huntress нашла ISO-образ размером более 100 ГБ, который раздавали как полноценную утёкшую версию. Внутри лежал установщик gta6installer.exe с иконкой GTA V и набор вредоносных программ, спрятанных среди бесполезных данных. После запуска он показывал сообщение на русском языке об ошибке проверки лицензии, предлагал написать на указанный адрес почты и выводил окно «License not found». Игрок решал, что игра просто не стартовала, а вредоносные компоненты в это время распаковывались во временные каталоги Windows.

В образе нашлись четыре семейства вредоносного ПО:

• троян удалённого доступа NjRAT, который выполняет команды, фиксирует нажатия клавиш, снимает экран и крадёт учётные данные браузеров;
• инструмент управления DCRat, который следит за окнами, читает буфер обмена и меняет реестр Windows;
• инфостилер Mercurial Grabber, который собирает пароли, cookie, токены Discord и данные сессий Minecraft и Roblox Studio;
• программа Chaos ransomware, которая в этой кампании действовала как вайпер.

NjRAT маскировался под компоненты Rockstar и Steam, создавал правила в брандмауэре Windows и подключался к внешним серверам управления. Один из компонентов менял файл hosts и перенаправлял обращения к доменам телеметрии и антивирусной отчётности, что могло мешать работе защитных сервисов.

Токены вместо паролей

Токены и cookie ценятся выше паролей, потому что открывают уже авторизованные аккаунты. Знать пароль не нужно, достаточно действующей сессии. Браузер хранит входы в почту, облачные хранилища, соцсети и рабочие сервисы, поэтому под угрозой оказывается не только игровой профиль. Украденные данные уходили оператору через Discord webhook.

В августе 2026 года Malwarebytes нашла сайты, которые имитировали страницы Rockstar Games с якобы доступной демоверсией GTA VI, и часть из них попадала в выдачу Google. Кнопка «Play Now» вела к файлу gta6_installer.exe размером 1,1 МБ. Для современной игры это ничтожно мало, зато достаточно для загрузчика вредоносных модулей. Двухфакторная аутентификация не спасает, если злоумышленник завладел действующим токеном.

Вайпер вместо вымогателя

Chaos ransomware оказался самым разрушительным компонентом. Классические вымогатели шифруют данные ради выкупа, а здесь файлы уничтожались, и признаков того, что операторы собирались принимать деньги, Huntress не нашла. Программа запускалась с правами администратора и действовала по порядку:

• отключала механизмы восстановления Windows и удаляла теневые копии дисков;
• шифровала файлы до 200 МБ алгоритмом AES со случайным паролем;
• перезаписывала более крупные файлы случайными данными.

Под удар попадали рабочий стол, документы, загрузки, сохранённые игры и файлы OneDrive, а в каждой затронутой папке появлялся текстовый файл с сообщением о заражении. Без независимой резервной копии восстановить их может оказаться невозможным.

Мобильных версий GTA VI не объявляли

В ноябре Netcraft нашла сайты с GTA VI для Android и iOS, хотя Rockstar Games мобильные версии не объявляла. Одни ресурсы раздавали APK-файлы, другие отправляли посетителей на опросы и сбор персональных данных. Файл GTA.VI.8.0.9.Beta на GitHub на момент проверки не вызвал срабатываний ни у одного антивирусного движка, но отсутствие срабатываний не подтверждает подлинность. Установщик GTAVI.exe получил 34 срабатывания из 68 проверок на VirusTotal, и это число показывает, сколько антивирусных движков сочли файл подозрительным, а не сколько компьютеров заражено.

Выдать фальшивку за настоящий дистрибутив помогают признаки, которым нельзя доверять:

• большой размер файла;
• знакомые логотипы и скриншоты геймплея;
• положительные отзывы на странице загрузки;
• чистый результат проверки антивирусом.

Русскоязычное сообщение в окне фальшивого установщика означает, что российские игроки входят в число потенциальных жертв. Многие из них привыкли искать новинки на торрент-трекерах и форумах, а на этих площадках Huntress и нашла подобные образы.

Если установщик уже запускали

Huntress посоветовала при подозрении на заражение выполнить следующие шаги:

• отключить компьютер от сети;
• сменить пароли с другого, заведомо чистого устройства, начав с почты, платёжных сервисов и игровых аккаунтов;
• завершить все активные сеансы и подключить двухфакторную аутентификацию;
• переустановить систему из доверенного источника, если найден троян удалённого доступа.

Для российских пользователей первым приоритетом остаётся почта, к которой обычно привязаны аккаунты на Госуслугах, в банках и на маркетплейсах.

Эксперты CISOCLUB отметили, что ожидание крупных релизов превращается для преступников в готовый календарь атак, где дата выхода игры задаёт срок кампании. Набор из трояна, инфостилера и вайпера в одном установщике рассчитан на то, что сработает хотя бы один компонент. Вайпер без требования выкупа показывает, что ущерб нельзя компенсировать оплатой, поэтому единственной защитой остаётся резервная копия. Любой установщик из торрента или сомнительного сайта следует запускать только в изолированной среде, а лучше не запускать вовсе. Пароли стоит хранить в менеджере и использовать на каждом сайте уникальные, а копии данных держать на отключённом носителе. Получить GTA VI без риска можно только у разработчика после официального релиза.

Ранее сообщалось, что владельцы PlayStation 5 могут столкнуться с фишинговыми атаками и заражением устройств вредоносным ПО после появления информации о взломе последней версии прошивки консоли. Злоумышленники используют интерес геймеров к обходу системных ограничений и предлагают скачать вредоносные программы под видом кастомных прошивок, патчей и утилит для снятия защиты. Об этом рассказали представители компании UserGate. Такие файлы могут использоваться для заражения устройств и кражи учётных записей пользователей.