Falso installer di GTA 6: cosa fare se lo hai scaricato

Cynet ha tracciato un link a un presunto eseguibile di GTA 6 fino a un file ZIP contenente un loader di WARDEN Stealer, un malware che ruba password salvate, cookie, credenziali di Steam e Roblox e dati dei portafogli di criptovalute. Al lancio del 19 novembre, il gioco non avrà una versione per PC: qualsiasi pagina che offra un installer per questa piattaforma sta offrendo qualcos'altro.

Chi potrebbe essere colpito e come riconoscere il file

L'esca si rivolge a chi cerca l'accesso anticipato, una fuga di notizie o un download gratuito di GTA 6 per PC. Cynet ha seguito un link pubblicato in un notebook di Google Colab fino a una pagina chiamata “Windows Software Hub”, che pubblicizzava un download di 72 MB e mostrava badge come “Virus Free”, “Secure” e “Verified”. Queste etichette non dimostrano che il file sia sicuro.

Nel campione analizzato, lo ZIP conteneva un eseguibile di 796 KB e un README di 1 KB. La differenza tra la dimensione pubblicizzata e quella dell'eseguibile non basta a dimostrare la presenza di malware: la pagina e i file contenuti nell'archivio riflettono misure diverse. Il segnale più evidente si trova nel README, che chiede di eseguire il programma come amministratore, ignorare un avviso di sicurezza e creare un'esclusione nell'antivirus.

Se hai eseguito l'EXE, i rischi includono il furto di password, cookie, dati di navigazione, credenziali di Steam e Roblox e informazioni sui portafogli di criptovalute. Cynet ha anche osservato che il programma può sostituire gli indirizzi di criptovalute copiati negli appunti e scaricare altro malware. Il loader cerca di evitare le macchine virtuali e gli ambienti isolati, quindi un'apparente inattività non dimostra che il file sia innocuo.

Cosa fare, passo dopo passo

1. Interrompi ogni interazione con il download. Non aprire l'eseguibile e non seguire le istruzioni del README. Non concedere i permessi di amministratore, non ignorare gli avvisi e non aggiungere esclusioni all'antivirus. Se hai soltanto trovato la pagina o scaricato lo ZIP senza aprire l'EXE, non procedere con l'installazione: il pacchetto non è un installer legittimo di GTA 6 per PC.

2. Verifica se il file è stato eseguito. Cerca di ricordare se hai aperto l'EXE, accettato un avviso o autorizzato modifiche al sistema. Controlla anche se hai creato un'esclusione nell'antivirus: il README lo richiede nel caso in cui il file venga bloccato. Se non sai se è stato eseguito, agisci con prudenza e segui i passaggi per proteggere gli account.

3. Se lo hai eseguito, disconnetti il computer dalla rete. È una misura di contenimento per interrompere ulteriori comunicazioni mentre organizzi la risposta; da sola non conferma né elimina un'infezione. Cynet ha identificato uroker[.]casa come probabile server di comando e controllo del malware. Durante il test, la società ha inoltre registrato un tentativo di connessione a wooocommerce[.]shopping, bloccato dal suo strumento. Sono indicatori da verificare nei log o con gli strumenti di sicurezza, non un elenco completo di tutto ciò che il programma potrebbe utilizzare.

4. Cambia le password da un altro dispositivo. Dai la priorità agli account di Steam e Roblox e a qualsiasi account le cui credenziali fossero salvate nel browser del computer interessato. Usa un dispositivo sul quale il file non è stato eseguito e password nuove, che non riutilizzerai. Il malware è progettato per rubare credenziali e cookie; cambiare la password dal computer probabilmente compromesso potrebbe esporre anche quella nuova.

5. Proteggi i tuoi portafogli di criptovalute. Controlla le operazioni recenti e verifica attentamente gli indirizzi prima di inviare fondi: il loader può sostituire un indirizzo copiato con un altro. Se gestisci chiavi o dati del portafoglio su quel computer, evita di inserirli e agisci da un dispositivo pulito. Se rilevi un'operazione che non riconosci, contatta il servizio o la piattaforma che utilizzi per gestire quei fondi.

6. Cerca il file e gli indicatori. Cynet ha pubblicato questi hash SHA-256 per identificare il campione specifico e il relativo README. Puoi chiedere al tuo team di sicurezza di confrontarli con file o log; un hash consente di riconoscere quei file, ma non esclude altre varianti.

   Tipo	Indicatore	Dettaglio pubblicato
   SHA-256	6444a4e18c9ca99b5516e5365baac88bf4d62182e3630451b202c9bfb4ccbc0b	Eseguibile dannoso
   SHA-256	d56abdfd6b0f00059bace02d168ed9d053621aa809325f112069d23f192f8b35	README distribuito con il campione
   Dominio	uroker[.]casa	Probabile server di comando e controllo, alta affidabilità
   IPv4	104.21.75[.]176	IP condiviso di Cloudflare; Cynet sconsiglia di bloccarlo da solo

7. Richiedi un controllo del computer. Se l'eseguibile è stato avviato, usa una soluzione di sicurezza per analizzare il dispositivo o chiedi aiuto a chi amministra i tuoi sistemi. Cynet ha riferito che durante un test il suo prodotto ha rilevato e bloccato il file, generando avvisi di gravità alta e critica. Il risultato riguarda quel test: non permette di presumere che un altro computer sia stato ripulito o che il malware non sia stato eseguito.

Errori che possono peggiorare la situazione

Non disattivare le protezioni per installare un presunto gioco. La richiesta di accettare un avviso e aggiungere un'esclusione antivirus non è un passaggio normale da seguire per ottenere GTA 6; fa parte delle istruzioni dell'esca descritta da Cynet.

Non fidarti dei badge né dell'aspetto della pagina. “Windows Software Hub” mostrava un numero di versione, un contatore di download e sigilli di sicurezza, ma questi elementi facevano parte della presentazione del sito. L'eseguibile analizzato non conteneva un motore, risorse né firme di Rockstar.

Non bloccare l'IP condiviso 104.21.75[.]176 come unica misura di risposta: Cynet avverte che corrisponde a un indirizzo condiviso di Cloudflare. Inoltre, non interpretare l'assenza di una connessione a uroker[.]casa come prova che il file non sia stato eseguito; la società lo identifica come server probabile, non come unico indicatore possibile.

Se non hai ancora scaricato nulla, la decisione pratica è semplice: per quel lancio non esiste un installer per PC. Se hai eseguito il file, inizia proteggendo i tuoi account da un altro dispositivo e facendo controllare il computer.

Fonti: Help Net Security, Cynet Unified, AI-Powered Security Platform for MSPs & SMEs