Arnaque au téléchargement de GTA 6 : comment un faux exécutable dérobe mots de passe et portefeuilles crypto

L’impatience des joueurs autour de la sortie de Grand Theft Auto VI est immense, mais elle attire aussi des cybercriminels prêts à exploiter cette attente. En novembre 2026, des chercheurs en sécurité de Cynet ont découvert une campagne malveillante sophistiquée : un lien présenté comme un téléchargement du jeu GTA 6, diffusé via un notebook Google Colab, mène en réalité à un WARDEN Stealer capable de voler mots de passe enregistrés, cookies de navigateur, identifiants Steam et Roblox, ainsi que les données des portefeuilles de crypto-monnaies. Cette arnaque au téléchargement de GTA 6 illustre parfaitement les techniques modernes d’ingénierie sociale et de distribution de malware. Dans cet article, nous détaillons le mode opératoire, les capacités du stealer et surtout comment vous protéger face à ces leurres.

L’appât : une version PC de GTA 6 qui n’existe pas encore

Grand Theft Auto VI doit sortir le 19 novembre 2026 sur consoles, sans aucune version PC annoncée à ce jour. Cette absence crée un vide que les cybercriminels s’empressent de combler. Tout site ou plateforme proposant un installeur PC pour GTA 6 est, par définition, frauduleux. Pourtant, la demande est telle que de nombreux joueurs sont prêts à cliquer sans vérifier, espérant obtenir une version anticipée ou une fuite du jeu.

Un leurre soigné : la page « Windows Software Hub »

Les chercheurs de Cynet ont suivi un lien depuis un notebook Google Colab - un outil légitime de développement collaboratif - qui renvoyait vers une page nommée « Windows Software Hub ». Celle-ci affichait un numéro de version, un compteur de téléchargements, ainsi que des badges « Virus Free », « Secure » et « Verified ». Autant d’éléments conçus pour mettre en confiance la victime. L’archive proposée pesait 72 Mo, ce qui peut sembler cohérent avec un petit programme ou un installeur allégé. À l’intérieur, pourtant, se trouvait un exécutable de seulement 796 Ko, accompagné d’un fichier README de 1 Ko.

« Le fichier README indique explicitement à l’utilisateur d’exécuter le programme en tant qu’administrateur, de passer outre les avertissements de sécurité et d’ajouter une exclusion antivirus si le fichier est bloqué. » - Cynet Research

Ce seul message devrait alerter : jamais un logiciel légitime ne demande de désactiver vos protections. Les cybercriminels misent sur la précipitation et l’excitation pour faire accepter ces consignes dangereuses.

Analyse du piège : comment le malware incite à baisser la garde

Cette campagne ne se contente pas de distribuer un exécutable vérolé ; elle met en scène tout un parcours d’infection minutieusement orchestré.

Le rôle de Google Colab dans l’infection

Google Colab est un service en ligne gratuit permettant d’exécuter du code Python dans un notebook. Les attaquants l’ont détourné pour héberger un lien pointant vers le site malveillant « Windows Software Hub ». L’utilisation d’une plateforme légitime comme Colab permet de contourner certains filtres de messagerie ou de navigation. C’est une technique de plus en plus fréquente : les cybercriminels s’appuient sur des services réputés pour paraître crédibles.

Les badges trompeurs et la taille du fichier

La page de téléchargement utilisait des badges visuels (« Virus Free », « Secure », « Verified ») qui imitent ceux que l’on trouve sur des sites d’hébergement légitimes. Ces artefacts sont faciles à copier mais doivent être scrutés : aucun vrai site officiel de Rockstar Games ne présente de tels badges. De plus, la différence entre la taille annoncée (72 Mo) et celle du fichier réel (796 Ko) peut être expliquée par la compression, mais le contenu de l’archive - un exécutable minuscule accompagné d’un README - ne correspond en rien à un jeu vidéo.

En pratique, si vous téléchargez un fichier portant le nom d’un jeu attendu et que sa taille ne dépasse pas quelques centaines de kilo-octets, il ne peut pas s’agir du jeu complet. Un titre comme GTA 6 pèserait plusieurs dizaines de giga-octets.

Ce que fait le WARDEN Stealer une fois installé

L’exécutable, une fois lancé avec les droits administrateur, déploie un malware baptisé WARDEN Stealer par les chercheurs de Cynet. Il s’agit d’un information stealer particulièrement agressif.

Vol d’identifiants et de données sensibles

Le stealer cible en priorité :

• Les mots de passe enregistrés dans les navigateurs (Chrome, Firefox, Edge, etc.) ;
• Les cookies de session, permettant de contourner l’authentification sur des comptes en ligne ;
• Les identifiants Steam et Roblox - ces plateformes de jeux étant des cibles de choix pour les revendeurs de comptes ;
• Les données des portefeuilles de crypto-monnaies : clés privées, fichiers wallet.dat, extensions de navigateur liées aux crypto-actifs.

L’infection remplace également les adresses de crypto-monnaies copiées dans le presse-papiers, une technique appelée clipboard hijacking. Ainsi, lorsque la victime pense envoyer des fonds vers une adresse légitime, ils sont redirigés vers le portefeuille de l’attaquant. Selon les estimations de Cynet, ce type d’attaque par stealer a augmenté de plus de 40 % en 2026 par rapport à l’année précédente.

Évitement de la détection et capacités avancées

Le binaire du WARDEN Stealer ne contient aucun moteur de jeu, aucun actif graphique et aucune signature Rockstar. Il vérifie s’il est exécuté dans une machine virtuelle ou un bac à sable (sandbox), et s’arrête dans ce cas pour éviter l’analyse. Il injecte du code dans les processus des navigateurs pour capter les frappes clavier et les données de formulaires en temps réel. Enfin, il peut télécharger des charges utiles supplémentaires depuis des serveurs distants, transformant la machine infectée en point d’entrée pour d’autres attaques.

Ce n’est pas seulement un vol de mots de passe : l’attaquant peut prendre le contrôle total de votre session, vider vos comptes et installer d’autres malwares.

Indicateurs de compromission et recommandations de blocage

Les chercheurs de Cynet ont publié plusieurs indicateurs de compromission (IoC) qui permettent aux équipes SOC et aux particuliers avertis de détecter cette menace.

Liste des IoC connus

Important : l’adresse IP 104.21.75.176 est une IP partagée de Cloudflare. La bloquer pourrait entraîner des faux positifs sur de nombreux sites légitimes. Seule une analyse réseau contextuelle permet de l’associer avec certitude au C2.

Mesures de prévention et bonnes pratiques

1. Ne jamais désactiver votre antivirus ni ajouter d’exclusion à la demande d’un programme, sauf si vous êtes absolument certain de sa provenance.
2. Vérifiez toujours l’authenticité du site de téléchargement. Le seul site officiel pour GTA est via Rockstar Games ou des plateformes reconnues (Steam, Epic Games Store).
3. Méfiez-vous des offres trop belles : une version PC d’un jeu non encore sorti sur cette plateforme est nécessairement frauduleuse.
4. Utilisez un gestionnaire de mots de passe et activez l’authentification multi-facteurs (MFA) sur vos comptes sensibles, notamment Steam et vos échanges crypto.
5. Surveillez les alertes de votre solution de sécurité et mettez à jour vos définitions antivirus régulièrement.
6. Analysez les fichiers suspects sur un service comme VirusTotal avant de les exécuter localement.
7. Sauvegardez régulièrement vos données crypto sur un support hors ligne (hardware wallet) afin de limiter l’impact d’un vol de clés.

Que faire si vous avez téléchargé ce fichier

Si vous avez exécuté un fichier provenant d’une telle arnaque, agissez rapidement :

1. Déconnectez immédiatement l’ordinateur du réseau.
2. Changez vos mots de passe depuis un autre appareil (téléphone, tablette) en commençant par les comptes les plus critiques : email, banque, Steam, crypto.
3. Activez une authentification à deux facteurs sur tous les services compatibles.
4. Analysez votre machine avec un outil de sécurité reconnu (ex. Malwarebytes, Windows Defender en mode hors ligne).
5. Contactez votre banque et les plateformes d’échange de crypto-monnaies si vous soupçonnez une fraude.

Conclusion : rester vigilant face aux leurres liés aux jeux très attendus

L’arnaque au téléchargement de GTA 6 démontre une fois de plus que les cybercriminels adaptent leurs techniques aux tendances et à l’actualité. L’utilisation de Google Colab, la mise en scène d’une page de téléchargement crédible et le WARDEN Stealer lui-même forment une combinaison dangereuse. Rappel essentiel : ne jamais faire confiance à des téléchargements proposés en dehors des circuits officiels, surtout pour des jeux très médiatisés dont la version PC n’existe pas encore.

En adoptant les réflexes de sécurité décrits dans cet article - vérification des sources, refus d’exécution avec droits élevés, utilisation de MFA et de gestionnaires de mots de passe - vous réduisez considérablement le risque de tomber dans ce type de piège. Restez informé des dernières menaces via les publications d’organismes comme l’ANSSI ou les chercheurs en sécurité, et n’hésitez pas à partager ces bonnes pratiques autour de vous. La meilleure défense reste une vigilance de tous les instants.

SHA-256 (fichier malveillant) : à retrouver sur le bulletin de Cynet
SHA-256 (README) : à retrouver sur le bulletin de Cynet

Pour aller plus loin, consultez le rapport complet de Cynet Research sur cette campagne WARDEN Stealer.