GTA 6 : quatre faux sites de démo volent vos mots de passe

Malwarebytes a publié le 24 août 2026 l’analyse de quatre sites qui se font passer pour Rockstar Games et distribuent un voleur de mots de passe : gta6demo[.]asia, gta6demo[.]eu, gta6demo[.]us et rockstar-gta-6[.]com. Les pages recopient le matériel promotionnel de l’annonce de l’Extended Look, et leur bouton « Play Now » télécharge un fichier nommé gta6_installer.exe. Aucune démo de GTA 6 n’existe.

Le mot « demo » dans l’adresse suffit donc à reconnaître le faux. Rockstar Games n’a annoncé ni démo, ni bêta, ni accès anticipé pour Grand Theft Auto VI, et son communiqué de précommande du 24 juin 2026, publié par Take-Two, ne renvoie qu’aux boutiques des plateformes et aux revendeurs, pour les deux seules éditions du jeu. Aucune version PC n’a été annoncée à ce jour : un fichier d’installation à télécharger ne peut donc pas venir de Rockstar.

gta6_installer.exe pèse 1,1 mégaoctet, sans rapport avec l’installation d’un jeu de cette taille. La campagne a été repérée dès le 19 août 2026, le lendemain de la première diffusion des vidéos volées.

Le programme livré est Vidar, un voleur d’identifiants vendu en abonnement. Il vise 19 navigateurs, dont Chrome, Edge et Firefox, et relance les navigateurs légitimes sans fenêtre visible, pour lire les mots de passe enregistrés depuis un processus de confiance. Les cookies de session et l’historique partent avec.

Supprimer le fichier ne referme pas la porte : « un voleur d’informations n’a pas besoin de rester sur votre ordinateur pour causer des dégâts durables », écrit Malwarebytes. Un cookie de session ouvre un compte sans demander de mot de passe. Aucun chiffre de victimes n’a été publié.

Une fausse copie du jeu qui efface les fichiers

Huntress a démonté une image ISO vendue comme une copie de GTA 6 en avance, dans une analyse rapportée le 10 septembre 2026 par Help Net Security : le fichier gta6installer.exe y porte encore l’icône de GTA V, et un message en russe annonce une erreur « License not found » pendant que la charge s’installe en arrière-plan.

Le message en russe et une copie du navigateur Yandex glissée dans l’image font penser à Huntress que des utilisateurs russophones figurent parmi les cibles, ce que SocPrime affirme plus fermement le 11 septembre 2026. Aucune des deux ne publie de mesure à l’appui.

Ces images circulent sur les forums de jeu, les sites de torrents, les réseaux sociaux et des pages remontées en tête des résultats de recherche par empoisonnement SEO, relève Huntress. Certaines dépassent 100 gigaoctets, ce qui rend le fichier crédible.

Aux chevaux de Troie NJRAT et DCRAT et à l’infostealer Mercurial Grabber s’ajoute une variante du rançongiciel Chaos qui ne réclame aucune rançon : elle chiffre les fichiers de 200 mégaoctets et moins, écrase les plus gros avec des données aléatoires, supprime les clichés instantanés de sauvegarde et désactive les options de récupération de Windows. Huntress y voit un rançongiciel « utilisé de fait comme un effaceur » (« effectively utilizing the ransomware as a wiper »).

Mercurial Grabber collecte les jetons Discord, les mots de passe et cookies de Chrome, les données de session Roblox et Minecraft et les clés de produit Windows. NJRAT enregistre les frappes au clavier, ouvre la caméra et accède aux données des portefeuilles de cryptomonnaie.

Les fichiers datent pour beaucoup de 2023, et Huntress estime qu’un Windows Defender à jour les détecte. Pour une machine déjà infectée, la marche à suivre tient en quatre gestes : la couper d’Internet, changer tous les mots de passe, activer l’authentification à deux facteurs partout où elle existe, puis réinstaller le système de zéro.

L’étude de Surfshark, rapportée par Frandroid le 1er septembre 2026, recense par ailleurs 212 noms de domaine liés à GTA 6, dont 57 semblent frauduleux, et avance que le total pourrait dépasser 750 au lancement.