GTA 6 hat keine Demo. Die Seite mit einer hat Malware

Grand Theft Auto VI hat keine Demo. Hatte nie eine. Das hat ein kleines Netzwerk von Websites nicht davon abgehalten, genau das zu verkaufen – und mindestens eine davon liefert statt eines Spiels einen Infostealer aus.

Malwarebytes hat den Download zu einem funktionierenden Infostealer zurückverfolgt

Forscher von Malwarebytes fanden die Kampagne unter Domains, die offiziell klingen sollen: gta6demo.eu, gta6demo.us, gta6demo.asia und rockstar-gta-6.com. Die Seiten tauchen in ganz normalen Google-Suchen neben echter GTA-6-Berichterstattung auf, im Farbschema von Rockstar gestaltet, mit einem „Play Now"-Button dort, wo ein Store-Eintrag „Buy Now" stehen hätte.

Klickst du drauf, liefert die Seite gta6_installer.exe aus – ganze 1,1 MB. Allein diese Größe sollte jeden stutzig machen, der kurz nachdenkt: Ein Open-World-Spiel der aktuellen Generation passt nicht in eine Datei, die kleiner ist als ein Handyfoto. Malwarebytes identifizierte die ausführbare Datei als eine Version von Vidar, einem Infostealer, der anderen Kriminellen im Abo verkauft wird. Kein gefälschtes CAPTCHA, keine Aufforderung zur Browser-Erweiterung, kein zweiter Schritt. Der Download ist der gesamte Angriff.

Was Vidar tatsächlich abgreift

Vidars Aufgabe ist es, auszulesen, was dein Browser sich bereits merkt. Die von Malwarebytes untersuchte Probe prüfte 19 Browser, darunter Chrome, Edge, Firefox, Brave, Opera und Vivaldi, und zog gespeicherte Passwörter, den Browserverlauf, FTP-Zugangsdaten und aktive Sitzungscookies ab.

Gestohlene Sitzungscookies sind in einer bestimmten Hinsicht schlimmer als gestohlene Passwörter: Sie können jemandem erlauben, sich direkt in ein bereits angemeldetes Konto einzuklinken – Passwort und Zwei-Faktor-Abfrage werden komplett übersprungen. TechCrunchs Berichterstattung zur selben Probe macht denselben Punkt, und GBHackers' Artikel bestätigt unabhängig davon die Liste der 19 anvisierten Browser. Drei Outlets, eine gemeinsame Probe, keine Widersprüche zwischen den Berichten.

Malwarebytes erfasste die Probe erstmals am 19. August, einen Tag nachdem der CyberLeek-Gameplay-Leak zu kursieren begann. Dieser Zeitpunkt ist kein Zufall. Ein Spiel, das aus den falschen Gründen in den Suchergebnissen trendet, ist genau der Moment, in dem eine gefälschte Download-Seite ihre Klicks einfährt.

Wir hatten dieses Risiko benannt, bevor es einen Namen hatte

Unsere eigene Berichterstattung zum August-Leak sagte klar, dass ein „GTA 6 Full Map Download" damals zu den attraktivsten Ködern im Internet für die Verbreitung von Malware gehörte – in dem Beitrag, der erklärt, warum wir geleaktes Material nicht verlinken. Genau diese Vorhersage hat jetzt einen Domainnamen und einen Datei-Hash.

Das Muster wiederholt sich bei jedem gehypten Release kurz vor dem Launch, und es lässt sich auf eine Handvoll Warnzeichen eingrenzen: eine unplausible Dateigröße für das Genre, eine Domain, die noch nie offiziell erwähnt wurde, und ein „Play Now"-Button, der einen echten Store-Eintrag ersetzt.

Der einzige legitime Release diese Woche ist Filmmaterial, keine Demo

Rockstars tatsächliches Release diese Woche ist keine spielbare Fassung. Grand Theft Auto VI: An Extended Look feiert am 27. August um 15 Uhr ET auf Netflix Premiere, sechs Stunden später geht es kostenlos auf Rockstars YouTube-Kanal und der offiziellen GTA-VI-Website online. Rockstars eigene Ankündigung bezeichnet es als Filmmaterial – nicht mehr.

Jede Seite, die verspricht, du könntest GTA 6 vor diesem Datum auf irgendeiner Plattform installieren und spielen, lügt per Definition. Das Einzige, was Rockstar vor dem 19. November zur Veröffentlichung angesetzt hat, ist ein Video.

Drei Checks erwischen fast alles davon

Schau dir die tatsächliche Domain an, nicht den angezeigten Text. Gta6demo.eu und rockstar-gta-6.com sind keine Rockstar-Properties, und kein Bindestrich-Abklatsch eines Publisher-Namens ist es je. Vergleiche die Dateigröße mit dem Genre: Alles, was sich als modernes Open-World-Spiel ausgibt und nur ein paar Megabyte groß ist, ist nicht dieses Spiel. Und behandle „Early Access", „geleakte Build" und „offizieller Download" als dasselbe Warnsignal in drei verschiedenen Kostümen, egal ob der Ausdruck im Manifest eines Leaks oder in einer Suchanzeige auftaucht.

Falls du den Installer bereits ausgeführt hast, rät Malwarebytes: Ändere deine Passwörter von einem sauberen Gerät aus, melde dich überall dort ab, wo deine Konten das zulassen, und lass einen Scan laufen, statt anzunehmen, es sei nichts passiert, nur weil nichts auffällig wirkte.

Der 19. November hat sich nicht verschoben. Alles, was zum Spiel aktuell bestätigt ist, steht auf einer Seite, die wir aktuell halten, und die Übersicht der Editionen zeigt, was ein echter Kauf tatsächlich bringt, jetzt, wo Preorders und Plattform-Stores die einzigen existierenden Kanäle sind.