🎮 Contexte

Publié le 3 novembre 2026 par Netcraft (source : netcraft.com), cet article de threat intelligence documente une campagne de fraude en ligne exploitant l’anticipation autour de la sortie de Grand Theft Auto VI (GTA VI), prévue le 19 novembre 2026. Netcraft a analysé des domaines thématiques GTA VI enregistrés entre le 1er juillet et le 27 octobre 2026.

🎯 Quatre catégories de leurres identifiées

1. Faux téléchargements usurpant l’identité de CyberLeek

  • CyberLeek est une entité non identifiée ayant publié des clips de gameplay GTA VI à partir du 18 août 2026.
  • 121 domaines contenant « cyberleek » ont été enregistrés, dont 100 en août.
  • gta6cyberleek[.]com : page stylisée Rockstar proposant un fichier GTAVI.exe, détecté par 34/68 moteurs VirusTotal comme trojan.
  • cyberleek[.]click : launcher détecté par 18/62 moteurs VirusTotal, suivi d’une demande de 100 USD en cryptomonnaie pour activer le jeu.
  • cyberleek[.]world, cyberleek[.]cfd, cyberleek[.]my : vente de démos ou accès complet contre cryptomonnaie (50 Tether ou Bitcoin).

2. Faux accès anticipés et préventes

  • gta6underground[.]com : faux programme « Pre-Release Program » de Rockstar, bouton de téléchargement d’un fichier pre-release-access.exe (2,4 Go), lien inactif au moment de l’analyse.
  • gta6[.]exposed : vente d’une clé GTA VI pour 199 USD (Bitcoin, Monero, Litecoin, Solana), toutes plateformes dont PC.
  • rockstargamesprevenda[.]store et rockstargamesoficialbr[.]shop : faux stores brésiliens avec paiement PIX.
  • gtavi[.]my : fausse précommande avec promesse de don à la fondation Gamers For Hope.

3. Fausses versions mobiles (APK)

  • Aucune version Android/iOS de GTA VI n’a été annoncée par Rockstar.
  • gta6thapk[.]com : APK nommé GTA.VI.8.0.9.Beta hébergé sur GitHub, aucune détection VirusTotal au moment de l’analyse, installation depuis source inconnue requise.
  • gta6world[.]live : content locker avec fausse « Human Verification » collectant des données personnelles.
  • Sites similaires : gta6[.]io[.]in, gta6apks[.]in, gta6mobile[.]com[.]in, gta6mobile[.]app.

4. Arnaques aux clés gratuites et à la monnaie in-game

  • mygta6[.]icu : faux giveaway communautaire avec compteur de codes restants, content locker après affichage partiel d’une clé.
  • gta6keycodes[.]com : faux codes de précommande avec compte à rebours de 15 minutes.
  • gta6bonuses[.]com : offres de GTA$ (monnaie in-game) de 250 000 à 10 millions, content locker après simulation de vérification de compte.
  • gta6sharkcard[.]com, gta6bestmoneyglitch[.]com : domaines enregistrés mais inactifs au moment de l’analyse.

🔮 Évolution anticipée post-lancement

Netcraft anticipe un glissement des leurres de « obtenir le jeu » vers « progresser dans le jeu » après le 19 novembre, avec des thèmes autour des GTA$, Shark Cards, cheats, mods et faux supports Rockstar. Des domaines lookalike ont déjà été identifiés : contact-rockstargames[.]com, rockstargamessupport[.]com, rockstargames[.]support.

Le domaine gta6jasonlucia[.]com (enregistré le 26 septembre) résout vers la même IP d’hébergement partagé que cyberleeks[.]com[.]br et d’autres domaines CyberLeek.

📋 Type d’article

Article de threat intelligence publié par Netcraft, visant à documenter et caractériser une campagne de fraude en ligne active exploitant un événement culturel majeur.

🧠 TTPs et IOCs détectés

TTP

  • T1566.002 — Phishing: Spearphishing Link (Initial Access)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1608.004 — Stage Capabilities: Drive-by Target (Resource Development)
  • T1657 — Financial Theft (Impact)
  • T1598 — Phishing for Information (Reconnaissance)
  • T1036 — Masquerading (Defense Evasion)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • GTAVI.exe (other)
  • Cyberleek Launcher (loader)

🟢 Indice de vérification factuelle : 78/100 (haute)

  • ✅ netcraft.com — source reconnue (liste interne) (20pts)
  • ✅ 16146 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 29 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 1/3 IOC(s) confirmé(s) (ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 7 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • cyberleek.click (domain) → VT (13/92 détections)

🔗 Source originale : https://www.netcraft.com/blog/how-attackers-are-capitalizing-on-the-hype-around-the-grand-theft-auto-vi-release