偽の「GTA 6」インストーラー、ゲーマーからブラウザのパスワードやDiscordトークン、暗号資産関連データを窃取

脅威アクターが「グランド・セフト・オートVI(GTA 6)」への期待感を悪用し、偽の「リーク版」ゲームダウンロードを拡散しています。これらは多層型のマルウェアバンドルをインストールし、ブラウザの認証情報、Discordトークン、ゲームセッションデータ、暗号資産関連情報を窃取します。

マルウェア分析ツール

ワイパーとして使用されるChaosランサムウェアの亜種、そして予期せぬYandexブラウザインストーラーも確認されています。

このキャンペーンは、サイバー犯罪者がゲーム業界屈指の期待作を、大規模な初期アクセスの誘い文句へと転用している実態を浮き彫りにしています。

GTA 6は2026年11月19日にPlayStation 5およびXbox Series X|S向けに発売予定です。つまり、トレント、ゲームフォーラム、SNS、検索結果を通じて出回っている「早期プレイ可能版」を名乗るものは、いずれも悪意あるものとみなすべきです。

RockstarはPC版の発売日を発表していないため、「GTA 6 PC crack」や「leaked GTA 6 ISO」といった検索キーワードは、SEOポイズニングを仕掛ける攻撃者にとって特に魅力的な標的となっています。

Huntressは、攻撃者が偽のGTA 6ISOファイルを、検索エンジン操作、トレントサイト、ゲームコミュニティ、SNS投稿を通じて拡散している様子を観測しました。

一部のダウンロードファイルは100GBを超えており、これは現代のAAAタイトルらしいサイズを装うためとみられます。

しかし研究者らによると、この巨大なイメージファイルの大部分はジャンクデータで水増しされており、実際の悪性実行ファイルのペイロードは比較的小さいとのことです。

分析対象となったISOでは、ユーザーにgta6installer.exeが提示されますが、これは奇妙なことにGTA 5風のアイコンを使用しています。

起動すると、インストーラーはロシア語のプロンプトを表示し、このソフトウェアが非正規のリーク版であること、そして「ライセンスが見つかりません」というエラーが発生する可能性があることを警告します。

さらに、更新版のクラックを希望するユーザー向けにメールアドレスも提示します。

このメッセージは、一連のソーシャルエンジニアリングの中核をなすものです。バックグラウンドでのマルウェア展開が完了すると、Visual Basicスクリプトが意図的に、予告されていた「ライセンスが見つかりません」というエラーを表示します。

被害者は、複数のペイロードが既にインストールされていることに気づかず、単に海賊版ゲームの起動に失敗しただけだと思い込まされます。

インストーラーは、Windowsの%TEMP%ディレクトリ内にファイルを展開しますが、その際、rockstar.exe、steam.exe、licensechecker.exe、gta6.exe、adminapp.exeなど、ゲーム関連に見えるよう工夫されたファイル名を使用します。

バッチファイルはまずMicrosoft Edgeを起動し、短縮URLを介してインターネット接続を確認したのち、マルウェアコンポーネントの展開に進みます。

これらのファイルのうちいくつかは、広範な監視・窃取機能を備えたリモートアクセス型トロイの木馬「NJRAT」を展開します。

このマルウェアはリモートシェルを開き、キーストロークを記録し、スクリーンショットを取得し、接続されたカメラにアクセスし、ブラウザのパスワードを窃取し、ファイルやレジストリエントリを操作し、暗号資産関連の詳細情報を収集することが可能です。

HuntressがGBhackersと共有したレポートによると、プレイ可能なGTA 6のリーク版を装った悪意あるISOイメージには、複数のリモートアクセス型トロイの木馬とオープンソースの情報窃取ツールが組み込まれていたことが判明しています。

これらのサンプルはWindowsファイアウォールにルールを追加し、AWSホスト型インフラおよびngrokトンネリングエンドポイントと通信します。これにより、攻撃者が感染システムへの遠隔操作を維持できる可能性があります。

別のコンポーネントは、C:\Users\Default\Local Settings\内にランダム化されたファイル名で「DCRAT」をインストールします。DCRATは、マウス操作、クリップボードへのアクセス、スクリーンショット取得、ウィンドウ追跡、オーディオデバイスの検出、レジストリの読み書きアクセスといった機能を備えています。

偽のGTA 6インストーラー

Huntressはさらに、関連するローダーがWindowsのhostsファイルを改ざんし、テレメトリおよび常駐型アンチウイルスの報告サービスを妨害していたことも発見しました。

このISOはさらに、情報窃取ツール「Mercurial Grabber」と特定されたadminapp.exeも投下します。

このツールは、Google Chromeのパスワードとクッキー、Discordトークン、Roblox Studioのクッキー、Minecraftのセッションデータ、Windowsのプロダクトキー、スクリーンショット、システムのメタデータ、IPアドレス、位置情報を収集します。

データ窃取対策

このランサムウェアは、まず20文字のランダムなパスワードを生成し、それを用いてAES暗号化を実行した上で、ファイルにランダムな4文字の拡張子を付加するという手順で、200MB以下のファイルを暗号化します。

窃取されたデータは、その後、攻撃者が管理するDiscordのWebhookを通じて外部に送信されます。

Discordやゲームセッション関連のデータを標的にしている点は、ゲーマーにとって特に大きなリスクとなります。ゲーマーはブラウザに保存された認証情報を利用したり、価値のあるゲーム内アカウントを保有したり、暗号資産ウォレットの拡張機能を保存したり、Discordコミュニティで特権的な役割を担っていたりすることが多いためです。

最も破壊的なペイロードは、gta6.exeを通じて起動されるChaosランサムウェアの亜種です。金銭の支払いを求めるのではなく、被害者に恒久的な損害を与えることを目的として設計されているように見えます。

このマルウェアは、シャドウコピーのバックアップを削除し、Windowsの復元オプションを無効化し、200MB以下のファイルをAESで暗号化し、それより大きなファイルはランダムなデータで上書きします。

これにより、このランサムウェアは事実上のワイパーとして機能します。特にオフラインバックアップを持たないユーザーにとっては深刻な脅威となります。

このマルウェアは、まずシステムドライブ以外を優先的に標的にし、その後、デスクトップ、ドキュメント、ダウンロード、ピクチャ、Saved Games、AppData、OneDriveの各フォルダといった一般的なユーザーフォルダを標的にします。

ファイルが永久に暗号化されたと主張する「read_it.txt」というノートを残し、壁紙を「ASHA Hacker Team」を名乗るロシア語のメッセージに変更します。

今回のキャンペーンは、シンプルなセキュリティ上の教訓を改めて浮き彫りにしています。すなわち、公式発売前に出回る「GTA 6」のリーク版、デモ版、クラック版は、いかなるものであっても正規のものとして信用すべきではないということです。

ゲーマーは、トレント経由のISOファイル、海賊版インストーラー、早期アクセスを謳う検索結果の広告を避け、Microsoft Defenderなどのエンドポイント製品を常に最新の状態に保つべきです。

固有のパスワードと多要素認証(MFA)を使用し、侵害の疑いがある場合はDiscordのセッションを失効させ、影響を受けたシステムは、既知の安全な媒体から完全に再構築した上でのみ復旧させることが推奨されます。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤ってアクセスやハイパーリンク化されることを防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

★ 7段階のメトリクスゲート方式によるAI SOC導入フェーズを学ぶ – AI SOC導入プレイブック2026を無料ダウンロード。