Sahte GTA 6 demo dosyası şifreleri ve açık oturumları çalıyor

Grand Theft Auto VI için şu anda indirilebilecek resmî bir PC sürümü, beta veya oynanabilir demo bulunmuyor. Buna rağmen oyuna yönelik yoğun ilgi, dolandırıcıların kullanıcıları kandırmak için kullanabileceği oldukça güçlü bir fırsata dönüşmüş durumda.

Tespit edilen yeni saldırı kampanyasında, Rockstar Games’in resmî sayfasını taklit eden internet siteleri üzerinden Vidar adlı bilgi hırsızı dağıtılıyor. “Şimdi Oyna”, “Resmî İndirme” veya benzeri ifadeler taşıyan düğmeler oyun yerine gta6_installer.exe adlı zararlı dosyayı indiriyor.

Üstelik dosya yalnızca 1,1 MB. GTA 6 ölçeğinde bir oyunun veya oynanabilir demosunun böyle bir boyuta sığması zaten mümkün değil. Yine de gerçek oyun görüntülerinin ve bilinen GTA 6 tasarımlarının kullanılması, ilk bakışta sahte sayfayı ikna edici gösterebiliyor.

Sahte GTA 6 sitesi kullanıcıyı nasıl kandırıyor?

Saldırganların kullandığı siteler, Rockstar’ın logosunu, GTA 6 görsellerini ve resmî sayfanın genel tasarımını mümkün olduğunca yakından taklit ediyor. Böylece kullanıcı, bilmediği bir internet sitesine değil de doğrudan Rockstar’ın sayfasına girdiğini düşünebiliyor.

Bazı sayfalarda gerçekten yayımlanmış GTA 6 tanıtım görsellerinin yanına sahte bir “Şimdi Oyna” düğmesi yerleştiriliyor. Arama sonuçlarında “GTA 6 resmî indirme” gibi ifadelerle karşılaşılması da güven duygusunu artırabiliyor.

Düğmeye tıklandığında indirilen gta6_installer.exe dosyası çalıştırılırsa ekranda gerçek bir oyun kurulumu görünmüyor. Vidar arka planda sessizce çalıştığı için kullanıcı dosyanın bozuk olduğunu düşünüp konuyu kapatabilir.

Asıl sorun tam da burada başlıyor. Kullanıcı hiçbir şey olmadığını düşünürken zararlı yazılım hesap bilgilerini toplamaya başlamış olabiliyor.

Vidar hangi bilgileri çalabiliyor?

Vidar, özellikle tarayıcılarda ve bazı masaüstü uygulamalarında saklanan hassas bilgileri hedefleyen bir bilgi hırsızı.

İncelenen GTA 6 örneğinin kayıtlı parolaları, kullanıcı giriş bilgilerini, otomatik doldurma verilerini, tarama ve indirme geçmişini, çerezleri ve bazı uygulamalarda saklanan kimlik bilgilerini toplamaya çalıştığı belirtiliyor.

Hedef listesi yalnızca tek bir tarayıcıyla da sınırlı değil. Chrome, Edge, Firefox, Brave, Opera ve Vivaldi gibi yaygın seçeneklerin de aralarında bulunduğu çok sayıda tarayıcı kontrol ediliyor.

Thunderbird profil klasörleri, bazı Chromium tabanlı uygulamalar ve WebView2 kullanan yazılımlar da saldırının kapsamına girebiliyor.

Bu nedenle bilgisayarda yalnızca oyun hesabı değil; e-posta, alışveriş, sosyal medya ve diğer hizmetlerin oturum bilgileri de risk altında olabilir.

Tarayıcının kendi işlemlerini kullanıyor

Vidar’ın dikkat çekici yöntemlerinden biri, korunan tarayıcı verilerine erişirken doğrudan şifrelemeyi kırmaya çalışmaması.

Zararlı yazılım, bilgisayarda zaten kurulu bulunan gerçek Chrome, Edge veya Firefox bileşenlerini başsız modda çalıştırabiliyor. Ardından geçici kullanıcı veri klasörleri üzerinden gerekli bilgilere ulaşmaya çalışıyor.

Bu yaklaşım, kötü amaçlı yazılımın bazı güvenlik kontrollerini aşmasını kolaylaştırabiliyor çünkü işlemlerin bir kısmı tarayıcının kendi güvenilir bileşenleri üzerinden gerçekleştiriliyor.

İşlem tamamlandıktan sonra kullanılan geçici klasörler silinebiliyor. Bu da saldırının kullanıcı tarafından fark edilmesini daha zor hale getiriyor.

Zararlı yazılım sistemde kalmasa bile tehlike bitmiyor

İncelenen örnekte bilgisayar yeniden başlatıldıktan sonra tekrar çalışmasını sağlayacak kalıcı bir başlangıç girdisi veya sistem hizmeti tespit edilmemiş olması ilk bakışta iyi haber gibi görünebilir.

Aslında değil.

Bir bilgi hırsızının asıl işi, cihazda uzun süre kalmak değil; değerli verileri mümkün olduğunca hızlı toplayıp dışarı aktarmaktır. Parolalar ve oturum belirteçleri ele geçirildikten sonra zararlı yazılımın sistemde kalmasına gerek bile olmayabilir.

Bu yüzden “Bilgisayarı yeniden başlattım, artık sorun yoktur” düşüncesi güvenli değil.

İki faktörlü doğrulama nasıl aşılabiliyor?

Saldırının en tehlikeli taraflarından biri, açık oturumlara ait çerezlerin çalınabilmesi.

Bir internet sitesine giriş yaptıktan sonra tarayıcınızda oluşturulan oturum belirteci, hizmete daha önce doğrulandığınızı söyler. Bu sayede her sayfada tekrar parola ve iki faktörlü doğrulama kodu girmeniz gerekmez.

Saldırgan kullanılabilir durumdaki bu oturum bilgisini ele geçirirse, bazı hizmetlerde mevcut oturumu başka bir cihazdan tekrar kullanmayı deneyebilir.

Bu durumda parolanızı veya iki faktörlü doğrulama kodunuzu bilmesi gerekmeyebilir.

İşte bu nedenle yalnızca şifre değiştirmek her zaman yeterli olmayabilir. Bazı hizmetler parola değiştirildiğinde açık oturumların tamamını otomatik olarak kapatmaz.

En güvenli yaklaşım, şifre değişikliğinin yanında tüm aktif oturumları da sonlandırmak.

Hangi hesaplar risk altında olabilir?

Vidar gibi bilgi hırsızları tek bir hesap türüne odaklanmıyor.

Çalınan parolalar ve çerezler üzerinden e-posta hesapları, sosyal medya profilleri, alışveriş siteleri, ödeme hizmetleri ve oyun platformları hedef alınabilir.

Steam gibi oyun hesaplarında durum ayrıca önemli. Kayıtlı ödeme yöntemleri, değerli oyun içi eşyalar veya başka hizmetlere bağlı hesaplar saldırganların ilgisini çekebilir.

E-posta hesabı ise özellikle kritik. Çünkü saldırgan e-postanıza erişirse diğer hesaplarınızın parola sıfırlama bağlantılarını da ele geçirebilir.

Bu nedenle böyle bir saldırıdan şüpheleniyorsanız güvenlik işlemlerine ana e-posta hesabından başlamak en mantıklı adımlardan biridir.

Dosyayı çalıştırdıysanız hemen ne yapmalısınız?

Sahte GTA 6 yükleyicisini çalıştırdıysanız, yalnızca dosyayı silmekle yetinmeyin. Parolalarınızın ve aktif tarayıcı oturumlarınızın ele geçirilmiş olabileceğini varsayarak hareket etmek daha güvenli.

1. Bilgisayarı güncel ve güvenilir bir güvenlik yazılımıyla tamamen tarayın ve tespit edilen zararlı dosyaları kaldırın.

2. Parolalarınızı temiz olduğundan emin olduğunuz başka bir cihazdan değiştirin. Önceliği e-posta, banka, ödeme, sosyal medya ve oyun hesaplarına verin.

3. Hesap ayarlarında bulunan “Tüm cihazlardan çıkış yap”, “Tüm oturumları sonlandır” veya benzeri seçenekleri kullanın.

4. Tanımadığınız cihazları, kurtarma e-posta adreslerini, telefon numaralarını, e-posta yönlendirme kurallarını ve bağlı uygulamaları kontrol edin.

5. İki faktörlü doğrulamayı etkinleştirin. Mümkünse yalnızca SMS yerine doğrulama uygulaması veya fiziksel güvenlik anahtarı gibi daha güçlü yöntemleri tercih edin.

Özellikle üçüncü adım kritik. Çalınmış bir oturum çerezi hâlâ geçerliyse, yalnızca şifre değiştirmek saldırganın mevcut erişimini hemen kesmeyebilir.

Kampanyayla ilişkilendirilen güvenlik göstergeleri

Aşağıdaki adresler ve dosya bilgileri saldırıyla ilişkilendiriliyor. Alan adları bilerek etkisiz biçimde yazılmıştır. Adresleri ziyaret etmeyin ve belirtilen dosyayı çalıştırmayın.

Sahte dağıtım siteleri:

• gta6demo[.]asia

• gta6demo[.]eu

• gta6demo[.]us

• rockstar-gta-6[.]com

Kötü amaçlı dosya:

• Dosya adı: gta6_installer.exe

• SHA-256: a8f19d598e6a49d8510d73d41fc445246755ed321c2f76985a463a9fef537eb0

Saldırganların iletişim için kullandığı belirtilen adresler:

• telegram[.]me/m1duus

• t[.]me/m1duus

• pinterest[.]com/m1duus

• steamcommunity[.]com/profiles/76561198657426610

Bu göstergeler özellikle sistem yöneticileri ve güvenlik yazılımlarında engelleme kuralları hazırlayan kullanıcılar için yararlı olabilir. Normal kullanıcıların ise bu adresleri test etmek amacıyla bile açmaması gerekiyor.

GTA 6 indirirken en önemli kural

Burada akılda tutulması gereken en basit nokta şu: GTA 6 için indirilebilir resmî bir PC demosu veya beta yoksa, size böyle bir dosya sunan siteye güvenmeyin.

Bir sayfanın arama sonuçlarında üst sıralarda görünmesi güvenilir olduğunu kanıtlamaz. Rockstar logosunu kullanması, profesyonel görünmesi veya gerçek GTA 6 görüntülerini göstermesi de aynı şekilde güvence sağlamaz.

“Ücretsiz beta”, “sızdırılmış PC sürümü”, “erken erişim” veya “oynanabilir demo” gibi vaatlerle sunulan .exe dosyalarına özellikle dikkat etmek gerekiyor.

Ve bazen en basit ayrıntı en güçlü uyarıdır: 1,1 MB büyüklüğündeki bir dosya GTA 6 değildir.