偽のGTA6デモサイトがVidarスティーラーを拡散、認証済みブラウザセッションを乗っ取る

サイバー犯罪者たちが『グランド・セフト・オートVI』への関心の高まりに便乗し、Rockstar Gamesを装った偽ページを拡散しています。存在しないGTA6デモを宣伝しながら、実際にはVidar情報窃取型マルウェアを配布するという手口です。

このキャンペーンはブラウザの認証情報やセッションCookie、その他のプロファイルデータを標的としており、被害者がパスワードを変更した後でも攻撃者がアカウントにアクセスできてしまう恐れがあります。

Dictionaries& Encyclopedias

この誘導手口は、実際に進行中のGTA6関連の動きを悪用しています。Rockstar Gamesは8月27日午後3時（東部時間）に、Netflixで「Grand Theft Auto VI: An Extended Look」をプレミア公開する予定で、その後午後9時（東部時間）にRockstarのYouTubeチャンネルおよびGTA VI公式サイトでも公開される予定です。

これはあくまで映像コンテンツであり、プレイ可能なビルドやダウンロード可能なデモではありません。RockstarはGTA VIの発売日をPlayStation 5およびXbox Series X|S向けに2026年11月19日としています。

偽サイトの一つは「公式ダウンロード」を謳っており、目立つ「今すぐプレイ」ボタンが訪問者をgta6_installer.exeという名前のファイルへ誘導します。この実行ファイルのサイズはわずか約1.1MBで、AAAタイトルのインストーラーとしては明らかに不自然な点です。

これらのページは、今度のNetflixでの発表に関するRockstarの実際のプロモーション素材をコピーすることで信憑性を高めています。

しかし、そのダウンロードの仕組みはRockstar、Netflix、あるいはいかなる公式コンソールストアとも一切関係がありません。GTA6のデモ、PC版ビルド、ベータ版、早期アクセス版のダウンロードは一切発表されていません。

このキャンペーンは、GTA6の流出情報とされるものをめぐる情報が錯綜する中で登場しました。8月18日には、Cyberleekという名義でゲームプレイ映像と称するものや、レオニダの完全マップとされるものがオンラインで出回り始めました。

その後Take-TwoはMicrosoftおよびDiscordの記録に関するDMCA召喚状を求めましたが、この流出情報とされるエコシステムには暗号資産の宣伝や寄付の呼びかけ、使い回しの動画、AI生成コンテンツなども大量に流入しました。

Malwarebytesは8月19日、悪意のあるgta6_installer.exeのサンプルを最初に確認しました。これは流出情報とされる素材が出回り始めてから1日後のことでした。

投下されるペイロードはVidarマルウェアファミリーに属するもので、金銭目的のサイバー犯罪者に利用されている実績のあるマルウェア・アズ・ア・サービス型の情報窃取ツールです。

Malwareanalysis tools

このサンプルはゲームのインストーラーのように振る舞うのではなく、ブラウザや特定のデスクトップアプリケーションに保存されたデータを収集します。

Malwarebytesの研究者らは、Rockstarになりすまし「GTA6 デモ」といった検索語で表示される悪意のあるサイトのネットワークを特定しました。

偽のGTA6デモサイト

研究者らは、このサンプルがChrome、Microsoft Edge、Firefox、Brave、Opera、Vivaldiを含む19種類のブラウザを標的にしていることを発見しました。

Cyberleekのウェブサイトでは暗号資産の寄付を募るとともに、今後公開予定のGTA6動画への有料広告掲載枠を提供していました。

また、Mozilla Thunderbirdのディレクトリや、PerplexityのCometブラウザ、Roblox Studio内で使用されるWebView2コンポーネントも探索対象としていました。

この収集ツールは、保存された認証情報やCookie、閲覧履歴・ダウンロード履歴、自動入力データ、FTPクライアントの認証情報などの窃取を試みます。

注目すべき点として、アナリストらはレジストリのスタートアップエントリやスケジュールタスク、Windowsサービスといった永続化のための挙動は確認していません。

しかし、それによって被害の深刻さが軽減されるわけではありません。情報窃取型マルウェアは、認証情報やトークンを窃取するために一度実行されるだけで十分だからです。

被害者側には、インストーラーのウィンドウが表示されることもゲームのコンテンツが現れることもなく、データが盗まれたことを示す明白な兆候もない場合があります。

最も重大なリスクはセッションの窃取です。セッションCookieやトークンは、ブラウザがすでに認証済みであることをサービスに伝えるものであり、これがあるためにページを読み込むたびにパスワードや第二要素の入力を求められることがないのです。

攻撃者が有効かつ再利用可能なセッショントークンを入手した場合、パスワードの再入力や多要素認証の完了を経ることなく、被害者の認証済みブラウザセッションになりすませる可能性があります。

これが成功するかどうかは、当該サービスのトークンバインディング、デバイス検証、リスク検知、セッション失効といった各種制御機能に左右されますが、MFAだけでは、すでに発行済みのセッションを遡って保護することはできません。

したがって、Vidar感染後にはパスワードのリセットが必要ではあるものの、それだけでは不十分な場合があります。

ユーザーはアクティブなセッションを失効させ、「すべてのデバイスからサインアウト」機能を利用し、身に覚えのないデバイスや連携アプリケーションを削除したうえで、復旧用メールアドレス、電話番号、転送設定、支払い設定を確認する必要があります。

ユーザーはゲームを正規のパブリッシャーおよびプラットフォームの公式チャネルからのみ入手し、検索広告や複製されたランディングページ、特に流出騒動に便乗した過熱期には、これらを信用しないようにする必要があります。

RockstarによるGTA VIの公式素材は同社ウェブサイトおよび公式チャネルを通じて公開されており、現時点で正規のデモやPC版ダウンロードは存在しません。

gta6_installer.exeを実行してしまった人は、信頼できるセキュリティ製品で当該システムをスキャンしたうえで、別のクリーンなデバイスを使い、メール、銀行、SNS、ゲーム、ショッピングの各アカウントについて重要な認証情報のリセットとセッションの失効を行う必要があります。

Cloudsecurity services

ゲームアカウントについても、支払い方法やデジタルアイテムの所持品、アカウント復旧経路が含まれている場合があるため、同様の注意を払う必要があります。

侵害指標（IOC）

注： IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例： [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ どのセキュリティツールを削減すべきか？ 1ページで評価する – 「継承されたセキュリティスタック」ガイドをダウンロード