Falso download de GTA 6 instala quatro pragas — e um ransomware que só destrói seus arquivos

Resumo: cibercriminosos estão distribuindo ISOs falsos de GTA 6 por resultados de busca envenenados, fóruns de games, torrents e redes sociais. Quem monta a imagem e roda o "instalador" recebe, de uma vez, dois trojans de acesso remoto, um infostealer e um ransomware usado como wiper — que destrói arquivos em vez de pedir resgate. Abaixo, a cadeia de ataque completa, os indicadores de comprometimento (IOCs) e o que fazer se você rodou o instalador.

Introdução

A expectativa pelo lançamento de GTA 6 — oficialmente previsto para o fim de 2026 — virou combustível para uma campanha de malware oportunista documentada pela Huntress (empresa de segurança gerenciada que monitora endpoints e investiga ameaças em tempo real) em relatório divulgado em 9 de setembro e repercutido pelo portal Cyber Security News no dia 10. Os pesquisadores analisaram uma amostra real de um ISO falso do jogo e encontraram dentro dela um verdadeiro pacote de pragas: o instalador malicioso entrega dois RATs (remote access trojans — cavalos de troia de acesso remoto), um infostealer, um ransomware usado como wiper e, de brinde, um navegador web.

A campanha explora um fato simples: não existe demo oficial, build vazado ou cópia jogável de GTA 6 circulando online. Todo "download antecipado" do jogo é, por definição, uma fraude. Os atacantes abusam exatamente dessa ausência para enganar jogadores ansiosos que buscam uma versão antecipada, usando arquivos de até 100 GB ou mais — na prática, a maior parte é dados de preenchimento (junk data) para fazer o download parecer legítimo.

Nota de honestidade: a campanha foi documentada pela Huntress com base em uma amostra real e IoCs públicos. Até o fechamento desta matéria, não há vítimas brasileiras confirmadas — mas o vetor (busca por jogo pirata ou antecipado) é universal, e o Brasil está entre os maiores mercados de games do mundo. Trata-se de campanha ativa, não de uma falha de segurança (zero-day).

O golpe: a busca pelo GTA 6 como vetor

A distribuição começa antes mesmo do download: os criminosos usam SEO poisoning (técnica de envenenamento de resultados de busca para posicionar páginas maliciosas no topo do Google e de outros buscadores) para fazer sites fraudulentos aparecerem entre os primeiros resultados de pesquisas como "GTA 6 download" e "GTA 6 leaked build". Além do Google, as ISOs falsas circulam em fóruns de games, sites de torrents e posts em redes sociais — cobrindo os principais caminhos que um jogador ansioso tentaria.

Os arquivos são imagens ISO (formato de imagem de disco óptico, um arquivo único que replica o conteúdo de um CD/DVD e pode ser montado como se fosse um drive real). Alguns ultrapassam 100 GB, tamanho plausível para um jogo AAA, mas quase todo o conteúdo é lixo para inflar o arquivo; a parte maliciosa é proporcionalmente pequena.

A decepção do instalador

Ao montar a ISO e executar o instalador principal, Gta6installer.exe — que usa um ícone no estilo do GTA 5 para parecer legítimo — o usuário vê uma mensagem em russo avisando que o jogo é uma versão vazada não licenciada e que pode não funcionar: se aparecer o erro "license not found" (licença não encontrada), o crack teria sido corrigido e bastaria escrever para um e-mail de contato para receber uma atualização. Ao fim da "instalação", um script (find.vbs) exibe exatamente esse erro.

A jogada é psicologicamente precisa: o jogador tem um motivo crível para o jogo não abrir (o aviso previa o erro), não desconfia do que aconteceu e deixa o malware operando em silêncio no segundo plano. O uso de prompts em russo e de uma nota de resgate também em russo sugere que a operação mira principalmente gamers que falam russo.

Quatro pragas de uma vez

Depois de iniciado, o instalador despeja vários arquivos na pasta %TEMP% do Windows e executa um script (checkinternetconnection.bat) que abre o Edge e acessa um encurtador de URL para confirmar que o dispositivo tem conexão com a internet antes de prosseguir — garantindo que os RATs conseguirão falar com os servidores de comando. Com a rede confirmada, o pacote instala os quatro malwares principais, em uma estratégia que os analistas da Huntress descrevem como "jogar um punhado de RATs na parede e ver o que gruda". Abaixo, o fluxo da infecção e o detalhamento de cada componente.

NJRAT — acesso remoto completo

O pacote instala várias cópias de NJRAT, um RAT conhecido e amplamente documentado — da mesma família de trojans de acesso remoto já analisada aqui no site no caso do XWORM, outro RAT brasileiro usado em campanhas contra instituições. Cada cópia é lançada por um executável disfarçado (licensechecker.exe, rockstar.exe, steam.exe), cria regras próprias no Firewall do Windows e conecta a três endereços IP hospedados na AWS, além de um túnel no serviço de tunelamento ngrok (serviço que expõe serviços locais na internet por meio de um túnel seguro, sem precisar de IP público).

As capacidades são as clássicas de um RAT: registrar teclas pressionadas (keylogger), capturar telas, acessar a webcam, abrir um shell remoto, navegar e transferir arquivos, alterar registro e processos, roubar credenciais de navegadores e detalhes de carteiras de criptomoedas. Três cópias adicionais (license.exe, rockstargamescrashfixer.exe, rockstarservices.exe) foram instaladas, mas não demonstraram atividade observada — reforçando a tese do "jogar tudo na parede".

DCRAT — o RAT que manipula o hosts file

O segundo RAT, DCRAT, é instalado por rockstargames.exe, que solta um script em %TEMP%, altera o servidor NTP local e instala uma cópia com nome aleatório na pasta de configurações do usuário padrão do Windows. DCRAT dá controle geral do sistema: captura de tela, controle do mouse, descoberta de dispositivos de áudio, monitoramento de janelas, acesso à área de transferência (clipboard) e leitura/escrita do registro.

A peça mais interessante é a manipulação do arquivo hosts (arquivo local do Windows que mapeia nomes de domínio para endereços IP antes de qualquer consulta DNS): o malware adiciona dezenas de entradas apontando domínios para 0.0.0.0, criando um bloqueio local de telemetria e serviços de reporte de segurança — incluindo Avast, Malwarebytes, McAfee, Trend Micro, Battle.net, Epic Games e Google Analytics. Na prática, é uma tentativa de impedir que o sistema e os antivírus enviem alertas sobre a infecção. O C2 (command and control — servidor usado pelo atacante para controlar o malware) de DCRAT é um domínio russo em blocklists há anos.

Mercurial Grabber — o infostealer de senhas e sessões

Junto com os RATs, o instalador entrega o Mercurial Grabber (como adminapp.exe), um infostealer de código aberto vendido no GitHub como "educacional" — e usado aqui em produção. Ele coleta senhas e cookies do Google Chrome, tokens do Discord, dados de sessão de Minecraft e cookies do Roblox Studio, informações do sistema, IP e geolocalização, chaves de produto do Windows e screenshots.

Os dados roubados são exfiltrados por um webhook do Discord (URL de integração que permite enviar mensagens automaticamente a um canal do Discord) — um canal de exfiltração barato, anônimo e difícil de rastrear. Vale notar que os dados de jogos (sessões de Minecraft e cookies de Roblox) indicam que o alvo é deliberadamente o público gamer.

O ransomware que só destrói: Chaos como wiper

A peça mais destrutiva do pacote é o Chaos ransomware, uma família de ransomware conhecida — mas, neste caso, os operadores não têm interesse em receber resgate. O malware age como um wiper (programa que destrói dados de forma deliberada e irrecuperável), transformando o ataque em pura sabotagem.

O Chaos só executa se o usuário tiver privilégios de administrador. O primeiro passo é desativar a recuperação do sistema: ele apaga todas as shadow copies (cópias de sombra do Windows — snapshots usados para restaurar arquivos e sistemas) e altera a configuração de boot para ignorar falhas de inicialização, inviabilizando a restauração. De quebra, troca o wallpaper da área de trabalho por uma imagem do Bob Esponja com a mensagem "YOU HAVE BEEN HACKED BY THE ASHA HACKER TEAM!" (você foi hackeado pelo time hacker ASHA).

O comportamento de destruição é curioso:

• Arquivos de até 200 MB são criptografados com AES (Advanced Encryption Standard — algoritmo de criptografia simétrica) usando uma senha aleatória de 20 caracteres, e ganham uma extensão aleatória de quatro letras;
• Arquivos maiores que 200 MB são simplesmente sobrescritos com dados aleatórios, tornando a recuperação tecnicamente impossível;
• O malware processa primeiro os discos não pertencentes ao sistema, depois varre pastas pessoais e compartilhadas do usuário — Desktop, Documentos, Downloads, Imagens, Música, Vídeos, jogos salvos, favoritos — além de pastas sincronizadas na nuvem (OneDrive), espalhando a destruição para além do próprio dispositivo.

Em cada pasta afetada, o Chaos deixa uma nota (read_it.txt) escrita por uma "achvz1om company" dizendo que "seus arquivos foram criptografados para sempre" — sem chave, sem pagamento, sem caminho de recuperação. É a assinatura de um ataque de destruição: o golpe aqui não é extorquir, é apagar a vida digital da vítima.

Detecção e IoCs

A boa notícia é que o malware em si não é novo: os arquivos datam em grande parte de 2023, e um Windows Defender atualizado é capaz de detectar as famílias usadas. Para quem precisa varrer ambientes ou investigar uma possível infecção, a Huntress publicou a coleção de indicadores de comprometimento (IOCs). Uma análise estática dos binários pode ser feita com o PEStudio (ferramenta de análise estática de executáveis Windows), e a busca pelos indicadores abaixo em logs e endpoints pode ser automatizada com um SIEM como o Wazuh (plataforma open source de monitoramento e detecção de intrusões).

Tipo	Indicador	Descrição
Executável / MD5	Gta6installer.exe — a15e280a3fd65dfaa243bbe2dbf45e97	Instalador falso inicial
Script / MD5	%TEMP%\checkinternetconnection.bat — 6b49f24d5d5b49127476bc385565f8b0	Verifica conectividade antes do drop
Script / MD5	%TEMP%\find.vbs — 0e39e8d7b641bcda4376ebbfeff7b12e	Exibe o erro "license not found"
Arquivos / MD5s	%TEMP%\licensechecker.exe, rockstar.exe, steam.exe, any.ran.exe, svchost.exe, abc.exe, license.exe, rockstargamescrashfixer.exe, rockstarservices.exe — 2a0834560ed3770fc33d7a42f8229722, 57b9c56ef97a7ada98257b23577bf5e3, 60a0f58001ea7be538cd42b651924cc7, 15eca4a3f7350423cf4db0b4c30d1968, ea991bc9334b36a6b958f564ee716776, 2a385fe7bed9899d77d05cb8e302d557	Cópias de NJRAT e launchers
IPs	35.157.111[.]131, 3.68.56[.]232, 3.67.15[.]169	Infraestrutura AWS contactada pelo NJRAT
Domínio / porta	7.tcp.eu.ngrok[.]io:12684	Túnel ngrok usado pelo NJRAT
Arquivos / MD5	%TEMP%\rockstargames.exe, %TEMP%\P3usMXh1h4.bat, C:\Users\Default\Local Settings[nome aleatório].exe — 8da3fe3664d81226b0fb2a50a0537d4f	Instalador e binário do DCRAT
Domínio / IP	a0700877.xsph[.]ru — 141.8.197[.]42	C2 do DCRAT (em blocklists há anos)
Executável / MD5	%TEMP%\adminapp.exe — dfdf5e5b78d2ec764c0e5641cf9a0d26	Mercurial Grabber (infostealer)
URL	https://discord[.]com/api/webhooks/995445114254139543/NmpxQmuBCD6sm3UkVvupGtx-Y0M_A86oJHp00O-l8F4jakfVhqFXzMBoy1uBDdj2rBLc	Webhook de exfiltração do infostealer
Arquivos / MD5	%TEMP%\gta6.exe, %USERPROFILE%\AppData\Roaming\svchost.exe — b9648ec8cc806e7661aabcfc91dc836c	Binários do Chaos
Arquivo	read_it.txt	Nota de "resgate" falsa deixada nas pastas afetadas
Executável / MD5	%TEMP%\YandexPackLoader.exe — 1ec9eff863dc4418d1498bc3d904899d	Navegador Yandex incluído no pacote
E-mail	kanalwsegokrytowo555@gmail.com	Contato exibido pelo instalador para "atualizar o crack"

Os IPs e domínios acima estão propositalmente desarmados (com . no lugar do ponto) para evitar resolução ou clique acidental. Reative-os apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM.

Como se proteger

Não baixe jogos de fontes não oficiais. GTA 6 ainda não foi lançado: não existe demo, build vazado ou cópia jogável legítima circulando. Qualquer download antecipado é fraude. Espere anúncios e downloads oficiais dos canais da Rockstar Games (desenvolvedora e publicadora da franquia Grand Theft Auto) — e desconfie de resultados de busca promovidos, posts em fóruns prometendo early access e listagens de torrents.

Desconfie de arquivos grandes demais. ISOs de 100 GB ou mais preenchidos com lixo são um sinal clássico desse tipo de campanha. Antes de montar qualquer imagem baixada fora dos canais oficiais, verifique o hash do arquivo contra o valor publicado pelo distribuidor legítimo — um hash diferente indica arquivo adulterado.

Se você rodou o instalador, desconecte o equipamento da rede imediatamente. Isso corta o canal de comando e controle dos RATs e impede a exfiltração de dados. Não desligue o computador sem antes desconectá-lo da internet.

Troque as senhas a partir de um dispositivo limpo. Depois de cortar a rede, use outro aparelho (celular ou outro computador) para resetar as senhas de e-mail, redes sociais, lojas de jogos, banco e qualquer serviço cujas credenciais possam ter sido roubadas — começando pelas contas protegidas apenas por senha.

Ative a autenticação em dois fatores (2FA). (mecanismo que exige um segundo fator além da senha — como um código gerado no celular) em todas as contas que suportarem, com prioridade para e-mail e carteiras de jogos, já que o infostealer rouba tokens de sessão e cookies.

Faça uma reinstalação completa do sistema. O pacote instala múltiplas cópias de RATs, altera o hosts file, o firewall e o registro — remover "só o vírus" não é confiável. Formate e reinstale o Windows, e só depois restaure arquivos a partir de backups conhecidos e limpos. Lembre-se: se o Chaos rodou com privilégios de administrador, as shadow copies já foram apagadas.

Mantenha o antivírus atualizado. Nada no pacote é novo — as amostras datam de 2023 e um Windows Defender atualizado detecta as famílias usadas. Em ambientes corporativos, use um SIEM como o Wazuh para buscar os IoCs da tabela acima em todos os endpoints e bloquear os domínios e IPs de C2 no firewall.

Cuidado com o espelho da destruição. Como o Chaos mira pastas sincronizadas na nuvem (OneDrive), o dano pode se propagar para outros dispositivos. Verifique e limpe também as contas de nuvem vinculadas ao computador comprometido antes de reconectá-las em um sistema reinstalado.

Conclusão

A campanha do falso GTA 6 é um retrato perfeito do crime cibernético oportunista: explora um evento de altíssima expectativa (o lançamento de um dos jogos mais aguardados da década), usa envenenamento de busca para transformar a curiosidade em infecção e empilha quatro pragas em um único instalador — com um ransomware que, em vez de extorquir, simplesmente destrói. A combinação de RATs para controle total, infostealer para roubo de credenciais e wiper para apagar a máquina indica um atacante que não quer dinheiro do resgate: quer causar dano máximo. A defesa, felizmente, é simples e eficaz: não existe GTA 6 pirata — e qualquer promessa de download antecipado é, por definição, uma armadilha. Jogue pelo canal oficial, desconfie de resultados de busca patrocinados e, no ambiente corporativo, mantenha as assinaturas de malware atualizadas e os IoCs monitorados.

Perguntas frequentes

O que é essa campanha de falso download de GTA 6?

É uma operação ativa que distribui imagens ISO falsas do jogo GTA 6 através de resultados de busca envenenados (SEO poisoning), fóruns de games, torrents e redes sociais. Quem baixa e executa o instalador recebe um pacote com dois RATs, um infostealer e um ransomware usado como wiper, além de um navegador.

Como o golpe funciona na prática?

Os criminosos posicionam sites maliciosos no topo dos buscadores para buscas como "GTA 6 download". A ISO baixada contém um instalador que avisa em russo que o jogo pode falhar e, ao final, exibe um erro de licença — dando um motivo crível para o jogo não abrir enquanto os malwares operam em segundo plano.

O que são NJRAT e DCRAT?

São trojans de acesso remoto (RATs) que dão ao atacante controle do computador: captura de teclas, telas, webcam, arquivos, clipboard e registro. No caso desta campanha, o DCRAT também modifica o arquivo hosts do Windows para bloquear telemetria e serviços de antivírus, reduzindo a chance de a infecção ser notada.

Por que o Chaos é chamado de wiper e não de ransomware?

Ransomware clássico criptografa arquivos e oferece a chave mediante pagamento. O Chaos desta campanha criptografa arquivos pequenos, mas sobrescreve arquivos maiores que 200 MB com dados aleatórios — destruição irreversível — e a nota que deixa afirma que os arquivos foram "criptografados para sempre", sem oferecer recuperação. Não há interesse em resgate, apenas em destruir.

Como saber se meu computador foi infectado?

Procure os indicadores da tabela de IoCs: arquivos com os nomes e hashes listados, conexões para os IPs 35.157.111.131, 3.68.56.232 e 3.67.15.169, o túnel ngrok 7.tcp.eu.ngrok.io:12684, o domínio a0700877.xsph.ru, entradas estranhas no arquivo hosts ou a nota read_it.txt em pastas pessoais.

O que fazer se eu rodei o instalador do falso GTA 6?

Desconecte o computador da rede imediatamente, troque todas as senhas a partir de um dispositivo limpo, ative a autenticação em dois fatores e faça uma reinstalação completa do sistema a partir de um backup limpo. Como o wiper apaga as cópias de sombra do Windows, a recuperação de arquivos pode ser impossível sem backup externo.

Há vítimas confirmadas no Brasil?

Até o fechamento desta matéria, não há vítimas brasileiras confirmadas pela Huntress. A campanha foi documentada a partir de uma amostra real, com indicações de que mira principalmente jogadores que falam russo. O risco é global, pois o vetor — busca por versão antecipada do jogo — existe em qualquer país, incluindo o Brasil.

O antivírus protege contra essa campanha?

Sim, na maioria dos casos. Os malwares usados não são novos (as amostras datam de 2023) e um Windows Defender atualizado detecta as famílias envolvidas. A recomendação é manter o sistema e as assinaturas sempre atualizados e, em ambientes corporativos, monitorar os IoCs com um SIEM.

Fontes e leituras adicionais

• Huntress — Grand Theft Auto VI Hype Leads to Malware — 09/09/2026
• Cyber Security News — Hackers Use Fake GTA 6 Downloads to Deploy RATs, Infostealers and Data-Wiping Malware — 10/09/2026