Falso instalador de GTA 6: qué hacer si lo descargaste

Cynet rastreó un enlace a un supuesto ejecutable de GTA 6 hasta un ZIP que contiene un cargador de WARDEN Stealer, malware que roba contraseñas guardadas, cookies, credenciales de Steam y Roblox y datos de monederos de criptomonedas. El juego no tiene versión para PC en su lanzamiento del 19 de noviembre: cualquier página que ofrezca un instalador para esa plataforma está ofreciendo otra cosa.

Quién puede estar afectado y cómo reconocer el archivo

El señuelo apunta a quienes buscan acceso anticipado, una filtración o una descarga gratuita de GTA 6 para PC. Cynet siguió un enlace publicado en un cuaderno de Google Colab hasta una página llamada “Windows Software Hub”, que anunciaba una descarga de 72 MB y mostraba distintivos como “Virus Free”, “Secure” y “Verified”. Esas etiquetas no acreditan que el archivo sea seguro.

En la muestra analizada, el ZIP contenía un ejecutable de 796 KB y un README de 1 KB. La diferencia entre el tamaño anunciado y el del ejecutable no basta para demostrar que haya malware: la página y los archivos dentro del archivo comprimido reflejan medidas distintas. La señal más clara está en el README, que pide ejecutar el programa como administrador, ignorar una advertencia de seguridad y crear una exclusión en el antivirus.

Si llegaste a ejecutar el EXE, el riesgo incluye el robo de contraseñas, cookies, datos de navegación, credenciales de Steam y Roblox e información de monederos de criptomonedas. Cynet también observó que el programa puede sustituir direcciones de criptomonedas copiadas al portapapeles y descargar malware adicional. El cargador intenta evitar máquinas virtuales y entornos aislados, así que una apariencia de inactividad no demuestra que el archivo sea inocuo.

Qué hacer, paso a paso

1. Deja de interactuar con la descarga. No abras el ejecutable ni sigas las instrucciones del README. No concedas permisos de administrador, no pases por alto avisos y no añadas exclusiones al antivirus. Si solo encontraste la página o descargaste el ZIP sin abrir el EXE, no continúes con la instalación: el paquete no es un instalador legítimo de GTA 6 para PC.

2. Comprueba si el archivo llegó a ejecutarse. Recuerda si abriste el EXE, aceptaste una advertencia o autorizaste cambios en el sistema. Revisa también si creaste una exclusión en el antivirus: el README pide hacerlo si el archivo queda bloqueado. Si no sabes si se ejecutó, trata la situación con cautela y sigue los pasos de protección de cuentas.

3. Si lo ejecutaste, desconecta el equipo de la red. Es una medida de contención para interrumpir nuevas comunicaciones mientras organizas la respuesta; no confirma ni elimina por sí misma una infección. Cynet identificó uroker[.]casa como probable servidor de mando y control del ladrón. La compañía también registró, durante su prueba, un intento de conexión a wooocommerce[.]shopping que su herramienta bloqueó. Son indicadores para revisar en registros o herramientas de seguridad, no una lista completa de todo lo que el programa podría utilizar.

4. Cambia las contraseñas desde otro dispositivo. Prioriza las cuentas de Steam y Roblox y cualquier cuenta cuyas credenciales estuvieran guardadas en el navegador afectado. Usa un dispositivo que no haya ejecutado el archivo y contraseñas nuevas que no reutilices. El malware está diseñado para robar credenciales y cookies; cambiar la contraseña desde el equipo posiblemente comprometido podría exponer también la nueva.

5. Protege tus monederos de criptomonedas. Revisa las operaciones recientes y comprueba con cuidado las direcciones antes de enviar fondos: el cargador puede sustituir una dirección copiada por otra. Si gestionas claves o datos del monedero en ese equipo, evita introducirlos allí y actúa desde un dispositivo limpio. Si detectas una operación que no reconoces, contacta con el servicio o plataforma que utilizas para gestionar esos fondos.

6. Busca el archivo y los indicadores. Cynet publicó estos hashes SHA-256 para identificar la muestra concreta y su README. Puedes pedir a tu equipo de seguridad que los compare con archivos o registros; un hash sirve para reconocer esos archivos, pero no descarta otras variantes.

   Tipo	Indicador	Detalle publicado
   SHA-256	6444a4e18c9ca99b5516e5365baac88bf4d62182e3630451b202c9bfb4ccbc0b	Ejecutable malicioso
   SHA-256	d56abdfd6b0f00059bace02d168ed9d053621aa809325f112069d23f192f8b35	README distribuido con la muestra
   Dominio	uroker[.]casa	Servidor de mando y control probable, confianza alta
   IPv4	104.21.75[.]176	IP compartida de Cloudflare; Cynet desaconseja bloquearla por sí sola

7. Pide una revisión del equipo. Si el ejecutable se inició, utiliza una solución de seguridad para analizar el dispositivo o solicita ayuda a quien administre tus sistemas. Cynet informó de que su producto detectó y bloqueó el archivo durante una prueba, con alertas de severidad alta y crítica. Ese resultado corresponde a su prueba: no permite asumir que otro equipo haya sido limpiado o que el malware no haya llegado a ejecutarse.

Errores que pueden empeorar la situación

No desactives las protecciones para instalar un supuesto juego. Pedir que se acepte una advertencia y se añada una exclusión antivirus no es un paso normal que debas seguir para obtener GTA 6; forma parte de las instrucciones del señuelo descrito por Cynet.

No te fíes de los distintivos ni del aspecto de la página. “Windows Software Hub” mostraba un número de versión, un contador de descargas y sellos de seguridad, pero esos elementos eran parte de la presentación del sitio. El ejecutable analizado no contenía motor, recursos ni firmas de Rockstar.

No bloquees la IP compartida 104.21.75[.]176 como respuesta aislada: Cynet advierte que corresponde a una dirección compartida de Cloudflare. Tampoco interpretes la ausencia de una conexión a uroker[.]casa como prueba de que el archivo no se ejecutó; la compañía lo identifica como probable servidor, no como el único indicador posible.

Si todavía no descargaste nada, la decisión práctica es sencilla: no existe un instalador de PC para ese lanzamiento. Si ejecutaste el archivo, empieza por proteger tus cuentas desde otro dispositivo y por hacer revisar el equipo.

Fuentes: Help Net Security, Cynet Unified, AI-Powered Security Platform for MSPs & SMEs