A expectativa por GTA 6 ganhou um novo problema de segurança. Pesquisadores identificaram sites falsos que imitam páginas da Rockstar Games e oferecem aquilo que milhões de jogadores adorariam encontrar agora: uma suposta versão antecipada do jogo.
Só que a demo falsa de GTA 6 com malware não instala o game. O arquivo distribuído por essas páginas é associado ao Vidar, um infostealer capaz de coletar senhas, cookies, informações armazenadas no navegador e até sessões autenticadas.
A campanha foi identificada pela Malwarebytes e aproveita um momento particularmente conveniente para os criminosos. Material aparentemente legítimo de GTA 6 começou a circular na internet enquanto a Rockstar se prepara para apresentar um Extended Look oficial do jogo em 27 de agosto.
Misture vazamentos, ansiedade dos fãs, resultados de pesquisa e um botão escrito “Play Now” e temos praticamente a receita pronta.
Só esqueceram de colocar GTA 6 dentro do instalador.
Não existe uma demo oficial de GTA 6
Antes de qualquer coisa, existe uma informação que elimina boa parte da confusão: a Rockstar não anunciou nem disponibilizou uma demo de Grand Theft Auto VI.
Segundo as informações reunidas pela Malwarebytes, GTA 6 está previsto para 19 de novembro de 2026 no PlayStation 5 e Xbox Series X/S. Também não havia uma versão para PC anunciada no contexto da investigação.
A Rockstar anunciou, sim, um Extended Look para 27 de agosto, com estreia na Netflix e publicação posterior no YouTube.
Isso é um conteúdo para assistir. Não é uma demo, beta, acesso antecipado ou arquivo para instalar no computador.
Os sites maliciosos copiaram justamente elementos dessa campanha verdadeira para criar páginas convincentes. A diferença é que acrescentaram botões como “Play Now”, capazes de levar o visitante ao download de um arquivo chamado gta6_installer.exe.
É justamente por isso que a demo falsa de GTA 6 com malware pode enganar usuários menos atentos. Ela mistura elementos verdadeiros da divulgação da Rockstar com uma oferta que simplesmente não existe.
O suposto GTA 6 ocupa apenas 1,1 MB
Talvez este seja um dos sinais mais óbvios de que alguma coisa está errada. O gta6_installer.exe analisado possui aproximadamente 1,1 MB.
Estamos falando de um arquivo que supostamente daria acesso a GTA 6, um dos maiores lançamentos AAA dos últimos anos, ocupando menos espaço que muitas fotografias feitas por smartphones modernos.
Segundo a análise, uma captura de tela feita de um dos próprios sites falsos era maior que o executável oferecido como instalador.
Um jogo desse porte evidentemente não cabe em 1,1 MB. Mas o arquivo não precisa carregar Leonida, personagens, texturas ou qualquer elemento do jogo. Ele precisa apenas executar o malware.
Vazamentos de GTA 6 abriram a porta para o golpe
A demo falsa de GTA 6 com malware apareceu em um momento especialmente favorável para esse tipo de campanha.
Em 18 de agosto, novas imagens de gameplay e aquilo que aparentava ser um mapa completo de Leonida começaram a circular online. Um indivíduo ou grupo chamado Cyberleek reivindicou responsabilidade pelo material.
Rockstar e Take Two responderam com ações para remover o conteúdo. A Take Two também entrou com medidas relacionadas à DMCA buscando informações que poderiam ajudar na identificação dos responsáveis pelos vazamentos.
Então surge uma coincidência bastante interessante.
A amostra maliciosa do gta6_installer.exe foi identificada pela primeira vez em 19 de agosto, apenas um dia depois de o material atribuído ao Cyberleek começar a circular.
Isso criou o ambiente perfeito para os criminosos. Se imagens e informações verdadeiras já estavam vazando, encontrar uma suposta demo ou versão não oficial parecia um pouco menos absurdo.
E esse pequeno aumento de credibilidade pode ser suficiente para fazer alguém clicar.
O que a falsa demo de GTA 6 instala
A análise identificou o arquivo como pertencente à família Vidar, um conhecido infostealer oferecido como serviço para outros criminosos.
Esse tipo de malware tem uma função relativamente direta: entrar, coletar informações valiosas e enviá las aos operadores.
Ele não precisa exibir uma mensagem assustadora ou bloquear seus arquivos. Na verdade, o cenário ideal para um infostealer é justamente o contrário.
Você executa o programa, nada aparentemente acontece e segue sua vida. Enquanto isso, os dados já podem estar saindo do computador.
A amostra analisada procurava senhas e informações de login armazenadas, cookies de sessão, histórico de navegação e downloads, dados de preenchimento automático, informações dos perfis dos navegadores e credenciais armazenadas por clientes FTP.
Foram identificados 19 navegadores como alvos, incluindo Chrome, Edge, Firefox, Brave, Opera e Vivaldi.
O malware também procurava diretórios do Thunderbird e tinha entre seus alvos o Comet, navegador da Perplexity, além do WebView2 utilizado dentro do Roblox Studio.
Portanto, chamar isso apenas de “vírus de GTA 6” acaba escondendo o principal problema.
Estamos falando de malware desenvolvido especificamente para encontrar informações que podem abrir as portas das suas contas.
Até sessões protegidas por 2FA podem virar alvo
O roubo de senhas é preocupante, mas existe outro elemento importante nessa campanha: os cookies e tokens de sessão.
Quando você entra em uma conta, o serviço normalmente cria uma sessão autenticada. É por isso que você não precisa digitar novamente sua senha e o código de autenticação toda vez que abre outra página.
O navegador mantém informações que indicam ao serviço que aquele usuário já passou pelo processo de autenticação.
Um infostealer pode tentar roubar justamente esses dados. Se um invasor conseguir reutilizar uma sessão ainda válida, dependendo das proteções adotadas pelo serviço, ele pode conseguir acesso sem repetir o processo tradicional de login.
Isso significa que o segundo fator de autenticação continua essencial, mas não torna uma conta automaticamente imune ao roubo de sessões.
O 2FA protege principalmente o processo de autenticação. O problema aqui é que o criminoso pode tentar reutilizar algo criado depois que essa autenticação já aconteceu.
Trocar a senha pode não resolver tudo
Esse detalhe muda também a maneira correta de reagir a uma possível infecção. Se alguém executou uma demo falsa de GTA 6 com malware, simplesmente alterar a senha das contas pode não ser suficiente.
O ideal é primeiro verificar e limpar o computador utilizando uma ferramenta de segurança confiável. Depois disso, as senhas importantes devem ser alteradas a partir de um dispositivo considerado seguro.
O email principal merece prioridade, já que normalmente funciona como porta de recuperação para diversas outras contas.
Contas bancárias, serviços de pagamento, redes sociais e plataformas de jogos também precisam ser verificadas.
Mas existe outra etapa fundamental: encerrar as sessões existentes. Serviços normalmente oferecem opções como sair de todos os dispositivos, encerrar sessões ou visualizar aparelhos conectados.
Isso ajuda a invalidar sessões que eventualmente tenham sido copiadas pelo malware. Também é importante procurar alterações desconhecidas em emails de recuperação, números de telefone, dispositivos conectados, aplicativos autorizados e regras de encaminhamento de email.
O Vidar pode desaparecer e o problema continuar
Durante a análise da amostra, não foi observado um mecanismo de persistência criado para fazer o malware sobreviver à reinicialização do computador.
Não foram identificadas tarefas agendadas, serviços instalados ou entradas de inicialização destinadas a executar novamente a ameaça.
Parece uma boa notícia. Mas existe um detalhe. Um infostealer não precisa permanecer no computador durante semanas para causar danos.
Se conseguir executar uma única vez, coletar credenciais, copiar cookies e enviar essas informações aos operadores, sua principal função já foi realizada.
O malware pode desaparecer. As credenciais roubadas não. A análise também não identificou uma interface visível sendo apresentada ao usuário.
Na prática, alguém pode executar o falso instalador, esperar alguns segundos e simplesmente acreditar que o programa não funcionou.
Talvez GTA 6 realmente não tenha aberto. O Vidar, por outro lado, pode ter feito exatamente o que deveria.
Malware usa navegadores legítimos para acessar dados protegidos
Um dos detalhes técnicos mais interessantes da investigação está na maneira como a amostra trabalha com os navegadores instalados.
Chrome, Edge e outros navegadores modernos utilizam mecanismos cada vez mais sofisticados para proteger senhas, cookies e outras informações sensíveis.
A amostra analisada adotou uma abordagem diferente. Durante os testes, ela iniciou os executáveis legítimos do Chrome, Edge e Firefox existentes no próprio sistema.
Os navegadores eram executados em modo headless e direcionados para diretórios temporários. Em outras palavras, o malware não precisava necessariamente tentar quebrar toda a proteção criptográfica de fora.
Ele procurava trabalhar através de programas que já possuem autorização para lidar com os próprios dados protegidos.
É uma distinção importante. A proteção do navegador pode tornar o roubo de credenciais mais difícil, mas nenhuma criptografia consegue tornar seguro um executável desconhecido que o próprio usuário decidiu abrir.
Nem todo resultado no Google é confiável
Existe outro elemento da campanha que merece atenção.
Alguns dos sites oferecendo a falsa demo apareciam em pesquisas relacionadas a GTA 6. Um dos resultados identificados anunciava inclusive um “Official Download”.
Isso mostra por que “encontrei no Google” nunca deveria ser usado como sinônimo de “é seguro”.
Criminosos podem criar páginas otimizadas para termos que estão recebendo grandes volumes de pesquisa e também copiar praticamente toda a identidade visual de uma empresa legítima.
Logotipo da Rockstar, imagens de GTA 6 e um design convincente não provam que você está no site da Rockstar.
Durante grandes lançamentos, vazamentos ou eventos, a atenção do público vira um ativo. E criminosos sabem perfeitamente como disputar esse tráfego.
Como evitar a demo falsa de GTA 6 com malware
A maneira mais eficiente de evitar essa ameaça é também a mais simples: não procure versões para download que a Rockstar nunca anunciou.
Antes de baixar uma demo, beta ou versão antecipada de qualquer jogo, confirme a existência do arquivo nos canais oficiais da desenvolvedora e nas lojas oficiais das plataformas.
O tamanho do arquivo também oferece pistas. Um executável de 1,1 MB não contém um jogo AAA moderno.
Também é preciso ter cuidado redobrado com supostos vazamentos. Como esse material não possui um canal oficial de distribuição, criminosos podem misturar arquivos maliciosos com vídeos, imagens e informações que realmente vazaram.
Essa combinação torna golpes muito mais convincentes. O fato de alguma coisa verdadeira ter vazado não torna verdadeiro tudo aquilo que aparece depois.
GTA 6 é apenas a isca da vez
O mais interessante nessa campanha talvez nem seja GTA 6. Certamente o jogo é a isca perfeita porque concentra atenção, curiosidade e uma enorme quantidade de pesquisas. Amanhã pode ser outro game, uma ferramenta popular, uma atualização importante ou qualquer evento capaz de fazer milhões de pessoas procurarem algo antes de pensar duas vezes.
A demo falsa de GTA 6 com malware mostra como criminosos conseguem transformar rapidamente um acontecimento real em uma oportunidade de distribuição de ameaças.
Existe material vazado circulando, sim existe um Extended Look verdadeiro e claro existe enorme expectativa pelo lançamento.
E no meio de tudo isso aparece um botão prometendo “Play Now”.
É exatamente aí que mora o problema. Até que a Rockstar anuncie oficialmente uma demo, beta ou qualquer versão jogável antecipada, qualquer download prometendo isso deve ser tratado com extrema desconfiança.
Porque tentar jogar GTA 6 alguns meses antes pode acabar desbloqueando algo completamente diferente. O acesso de outra pessoa às suas contas.
