Lo que recibe el usuario es una variante de Vidar, que es un malware especializado en extraer información almacenada en los navegadores, de acuerdo con un análisis de la firma de ciberseguridad Malwarebytes. Entre los datos que busca se encuentran contraseñas, cookies de sesión, historial de navegación y descargas, información de autocompletado y credenciales guardadas por otros programas.
La campaña tiene como objetivo al menos 19 navegadores, entre ellos Chrome, Edge, Firefox, Brave, Opera y Vivaldi. El malware también revisa perfiles de Thunderbird, el navegador Comet de Perplexity y WebView2, una tecnología utilizada dentro de Roblox Studio.
Una descarga de 1.1 MB es la primera señal de alerta
Las páginas fraudulentas copian imágenes, videos, logotipos y otros elementos visuales de Rockstar para aparentar que pertenecen al desarrollador. Algunas consiguieron aparecer en los resultados de Google junto con noticias y contenidos legítimos sobre GTA VI.
No obstante, existe una señal que permite detectar rápidamente el engaño: el supuesto instalador pesa sólo 1.1 MB, una capacidad insuficiente para contener un videojuego de gran escala.
Malwarebytes señaló que incluso la captura de pantalla tomada al sitio fraudulento pesaba más que el archivo presentado como una demo.
Los atacantes también aprovecharon la promoción de “An Extended Look”, el vistazo extendido de GTA VI que Rockstar difundió el 27 de agosto. Las páginas copiaron el anuncio original, pero agregaron un botón falso para jugar y descargar el archivo malicioso.
El contenido presentado por Rockstar era solamente una transmisión con más información e imágenes del videojuego, no una demo ni una versión anticipada.
¿Cómo puede entrar a una cuenta con doble autenticación?
El robo de cookies de sesión convierte a esta campaña en un riesgo mayor al de una descarga falsa.
Cuando una persona inicia sesión en un correo electrónico, red social, tienda o plataforma de videojuegos, el servicio entrega al navegador un registro para reconocer que el usuario ya comprobó su identidad. Gracias a este mecanismo no es necesario escribir la contraseña cada vez que se abre una página.
Si el atacante obtiene esa cookie, puede intentar reutilizar la sesión como si fuera el propietario de la cuenta. En ciertos servicios, esto le permite entrar sin volver a introducir la contraseña ni completar la autenticación de dos factores.
La doble autenticación protege el proceso de inicio de sesión, pero la sesión robada fue creada después de que ese control ya se superó. Por ello, cambiar la contraseña después de ejecutar el malware podría no ser suficiente si las sesiones anteriores permanecen abiertas.
