Приманки в стилі GTA VI ведуть користувачів до зловмисного програмного забезпечення

SOC Prime Team

Стежити

Приманки в стилі GTA VI ведуть користувачів до зловмисного програмного забезпечення

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Зловмисники використовують інтерес до майбутнього виходу Grand Theft Auto VI, поширюючи шкідливі ISO-файли через SEO-поisoning та торрент-сайти. Ці файли доставляють комбінацію RAT, інфостілерів та програм-вимагачів, які ведуть себе як деструктивні вайтсери. Кампанія, здається, в основному націлена на російськомовних геймерів.

Розслідування

Huntress проаналізувала шкідливий ISO-файл, замаскований під злиту збірку GTA6, всередині пісочниці. Розслідування виявило багатоступеневий ланцюг зараження з участю фальшивих інсталяторів, кількох RAT, таких як NJRAT та DCRAT, та інфостілера Mercurial Grabber. Дослідники також виявили використання Chaos ransomware для знищення файлів замість вимоги викупу.

Пом’якшення

Користувачі повинні уникати завантаження зламаного, злитого або нереалізованого програмного забезпечення з ненадійних джерел. Підтримка засобів захисту, таких як Windows Defender, в актуальному стані, може допомогти виявити сімейства шкідливих програм, що беруть участь. Організації також повинні підтримувати надійний захист кінцевих точок для блокування несанкціонованих інсталяторів і підозрілого виконання навантаження.

Реакція

Якщо підозрюється компрометація, уражену систему слід негайно від’єднати від мережі. Необхідно провести повне повторне зображення системи, щоб видалити всі механізми збереження та шкідливі компоненти. Також слід скинути паролі користувача та увімкнути багатофакторну аутентифікацію (MFA) для всіх відповідних облікових записів.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="flowchart TDn step_user_execution["T1204 – User Execution User executes fake gta6installer.exe"]n step_masquerading["T1036 – Masquerading Malware components dropped into %TEMP% using names like rockstargames.exe and steam.exe"]n step_c2_communication["T1071 – Application Layer Protocol NJRAT establishes command and control via AWS and ngrok tunneling"]n rules_for_c2_communication("Rule Name: Possible Port Tunneling Service (via dns) Rule ID: 9a40b493-23ea-4259-880c-c5922308b8c0<hr/>Rule Name: Possible Data Infiltration / Exfiltration / C2 via Third Party Services / Tools (via proxy) Rule ID: 3081ed7a-1742-494a-b0c3-006f5a21dd72")n step_defense_impairment["T1685 – Disable or Modify Tools rockstargames.exe modifies the Windows hosts file to sinkhole telemetry and antivirus"]n step_exfiltration["T1567 – Exfiltration Over Web Service Mercurial Grabber exfiltrates credentials and system information via Discord webhooks"]n rules_for_exfiltration("Rule Name: Possible Data Infiltration / Exfiltration / C2 via Third Party Services / Tools (via proxy) Rule ID: 3081ed7a-1742-494a-b0c3-006f5a21dd72")n step_inhibit_recovery["T1490 – Inhibit System Recovery Chaos ransomware deletes shadow copies and modifies boot configuration"]n step_encryption["T1486 – Data Encrypted for Impact Chaos ransomware encrypts files with AES and overwrites larger files with random data"]n step_data_destruction["T1485 – Data Destruction

Потік атаки

11 вересня 2026

Виконання симуляції

Розповідь про атаку та команди: Зловмисник успішно обійшов периметрові захисти і переходить до фінального етапу своєї місії: вимагання. Після шифрування даних користувача, Chaos ransomware створює спеціальний файл під назвою read_it.txt у різних каталогах, щоб надати інструкції щодо того, як сплатити викуп. Ця симуляція імітує створення цього файлу для перевірки, чи SOC отримує сповіщення для цього конкретного індикатора Chaos Ransomware.

Регресійний тестовий скрипт:

# Скрипт симуляції для імітації утворення вимагачем Chaos ransom note
$TargetDir = "$env:USERPROFILEDocuments"
$RansomNoteName = "read_it.txt"
$RansomNoteContent = "ВАШІ ФАЙЛИ ЗАШИФРОВАНІ. ЗАПЛАТІТЬ 0.5 BTC НА НАСТУПНУ АДРЕСУ..."

Write-Host "[+] Імітація Chaos Рансомвару: Створюється ransom note в $TargetDir" -ForegroundColor Cyan

try {
    $Path = Join-Path -Path $TargetDir -ChildPath $RansomNoteName
    Set-Content -Path $Path -Value $RansomNoteContent
    Write-Host "[SUCCESS] Файл створено: $Path" -ForegroundColor Green
}
catch {
    Write-Host "[ERROR] Не вдалося створити файл: $($_.Exception.Message)" -ForegroundColor Red
}

Команди очищення:

# Скріпт очищення для видалення імітованої ransom note
$TargetDir = "$env:USERPROFILEDocuments"
$RansomNoteName = "read_it.txt"
$Path = Join-Path -Path $TargetDir -ChildPath $RansomNoteName

if (Test-Path $Path) {
    Remove-Item -Path $Path -Force
    Write-Host "[+] Очищення завершено: $Path видалено." -ForegroundColor Green
} else {
    Write-Host "[-] Очищення пропущено: Файл не знайдено." -ForegroundColor Yellow
}

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Зв’язатися з відділом продажів