GTA 6 : quatre faux sites de démo volent les mots de passe
Malwarebytes a publié le 24 août 2026 l’analyse d’une campagne qui imite Rockstar Games. Quatre domaines y proposent une prétendue démo de GTA 6 et livrent à la place un voleur de mots de passe de 1,1 mégaoctet.
GTA6 LIFE
Malwarebytes a publié le 24 août 2026 l’analyse de quatre sites qui imitent Rockstar Games pour distribuer un voleur d’identifiants : gta6demo[.]asia, gta6demo[.]eu, gta6demo[.]us et rockstar-gta-6[.]com. Les pages recopient le matériel promotionnel de l’annonce de l’Extended Look, et leur bouton « Play Now » déclenche le téléchargement d’un fichier baptisé gta6_installer.exe. Aucune démo de GTA 6 n’existe.
C’est le point de bascule, et il tient en un mot. Rockstar Games n’a annoncé ni démo, ni bêta, ni accès anticipé pour Grand Theft Auto VI, ce qui fait du mot « demo » dans un nom de domaine une preuve du faux à lui seul. Dans son communiqué de précommande du 24 juin 2026, Take-Two ne nomme que quatre canaux de vente : le PlayStation Store, le Microsoft Store, le Rockstar Games Store et les revendeurs mondiaux, pour les deux seules éditions du jeu.
Le poids du fichier est le second signal. gta6_installer.exe pèse 1,1 mégaoctet, une taille sans rapport avec l’installation d’un jeu de cette échelle, et Malwarebytes en a publié l’empreinte SHA-256, qui commence par a8f19d59. Le faux a été repéré dès le 19 août 2026, le lendemain de la première diffusion de vidéos volées.
L’excès inverse circule aussi. Tom’s Hardware a décrit un faux ISO d’environ 113 Go rempli à plus de 99,99 % de zéros, autour d’une charge malveillante d’une cinquantaine de kilooctets, le remplissage servant uniquement à rendre la taille crédible. Et aucune version PC n’a été annoncée à ce jour, donc un fichier d’installation à télécharger ne peut pas venir de Rockstar.
Le programme livré est Vidar, un voleur d’identifiants vendu en abonnement. Selon Malwarebytes, il vise 19 navigateurs, dont Chrome, Edge, Firefox, Brave, Opera et Vivaldi, fouille les profils Thunderbird, et lance les navigateurs légitimes en mode sans interface pour lire les mots de passe enregistrés depuis un processus de confiance. Il emporte aussi les cookies de session et l’historique.
La désinfection ne referme pas la porte. Malwarebytes le résume en une phrase :
Un voleur d’informations n’a pas besoin de rester sur votre ordinateur pour causer des dégâts durables. (« An infostealer doesn’t need to remain on your computer to cause lasting damage »)
Un cookie de session ouvre un compte sans demander de mot de passe, si bien que changer ses identifiants et fermer toutes les sessions actives reste nécessaire après la suppression du fichier.
L’analyse du 24 août laisse deux trous. Aucun chiffre de victimes n’a été publié pour cette campagne, et aucune source n’a établi qui héberge ou opère les quatre domaines. Les autres marqueurs, du compte usurpateur au verbe « confirme » employé sans source officielle, sont réunis dans notre guide de reconnaissance d’un faux leak.
