Nog lang wachten, of nu al illegaal ervaren. Op torrentsites circuleert een bestand van 113 gigabyte dat een speelbare versie van GTA 6 zou zijn. Wie het heeft onderzocht, komt tot dezelfde conclusie: het is nep en er zit malware in. Wie de geschiedenis van gaming kent, weet dat in de jaren 90 deze vorm van malwareverspreiding begon bij Leisure Suit Larry.
Dat past ook bij wat er wel bekend is. De tipgever die zich CyberLeek noemt lijkt toegang te hebben tot een interne ontwikkelversie, maar heeft nooit iets speelbaars vrijgegeven. Elke speelbare GTA 6 die je online tegenkomt, is dus per definitie iets anders dan wat hij beweert te zijn.
Reken uit waarom het juist 113 GB moet zijn
Die omvang lijkt een detail maar is het hele plan, en dat wordt nergens uitgelegd.
Stel dat je zo’n bestand aan tienduizend mensen wilt bezorgen vanaf je eigen server. Dan verstuur je 1,13 petabyte aan gegevens. Bij gangbare tarieven voor uitgaand verkeer bij een hostingpartij kost dat al gauw tienduizenden euro’s, en je server valt om lang voordat je zover bent.
Via BitTorrent kost het je één keer uploaden. Daarna sturen de slachtoffers het bestand aan elkaar door, want dat is precies wat het protocol doet: wie downloadt, uploadt tegelijk naar anderen.
Een enorm bestand is voor een aanvaller dus geen probleem maar een voordeel. Het maakt zelf hosten onmogelijk en verplaatst de distributiekosten naar de mensen die je wilt besmetten. En omdat het bestand zo groot is, lijkt het geloofwaardiger dat het om een echte game gaat.
Dit is een oude truc, en de geschiedenis is bekender dan hij verdient
Malware via illegale kopieën is zo oud als de pc, en er is één verhaal dat iedereen kent.
Eind jaren tachtig zouden illegale kopieën van Leisure Suit Larry een virus hebben verspreid dat tot in het Europese bankwezen kwam. De Financial Times berichtte in 1988 dat banken in Zwitserland, Duitsland en Engeland gegevens kwijtraakten nadat medewerkers een gekopieerd exemplaar op een bedrijfscomputer hadden gedraaid. Uitgever Activision liet weten dat de gekochte versie schoon was.
Het virus was het Jerusalem-virus, ook bekend als Friday the 13th. Dat nestelde zich in uitvoerbare bestanden en wiste programma’s zodra je ze op een vrijdag de dertiende startte.
Maar dat Larry-verhaal klopt niet zoals het wordt verteld
Hier is het nuttig om precies te zijn, want deze anekdote is in de loop der jaren flink opgepoetst.
De trigger was een datum en niet een moment in het spel. Het virus wachtte niet tot je Larry had uitgespeeld; het sloeg toe op een vrijdag de dertiende, ongeacht wat je aan het doen was.
Sierra had er ook niets mee te maken. Bedenker Al Lowe zei er later over dat niemand bij de studio er goed genoeg voor was, en de gangbare theorie dat de uitgever zelf een virus zou hebben geplant om piraterij tegen te gaan, is nooit onderbouwd.
En de koppeling met dit ene spel is grotendeels een uitvinding van de media geweest. Beveiligingsonderzoeker Robert Slade noemt de theorie dat het via gekopieerde software ging een hardnekkige mythe, en in de meeste gedocumenteerde besmettingen uit die periode komt het spel helemaal niet voor. Het verhaal bleef plakken omdat het te mooi was: niet alleen een game, maar een gênante game, en dan ook nog een illegale kopie.
Waarom de onderliggende gedachte wel klopt
De les die eronder ligt is niettemin volledig juist, en die is met de jaren alleen maar sterker geworden.
Illegale software is voor een aanvaller het ideale kanaal, en dat komt door één gewoonte. Bij een crack zit vrijwel altijd de instructie om je virusscanner uit te zetten, omdat cracks nu eenmaal geregeld ten onrechte worden aangemerkt als schadelijk.
Die instructie is dus geloofwaardig, en gebruikers volgen hem op. Vervolgens draaien ze een niet ondertekend programma met beheerdersrechten, op een computer waarvan de bescherming net is uitgezet, op eigen initiatief. Geen enkele phishingmail bereikt dat niveau van medewerking.
Daar komt bij dat het slachtoffer nooit klaagt bij de leverancier en zelden aangifte doet. Dat maakt dit kanaal niet alleen effectief maar ook stil.
Hoe je ziet dat dit nep is zonder het te downloaden
Er zijn drie dingen die je kunt nagaan voordat je iets aanraakt.
Ten eerste de datum. GTA 6 verschijnt op 19 november. Een werkende, installeerbare versie die drie maanden voor de uitgave in de handel is, bestaat niet; op dat moment zijn de bestanden bij de uitgever nog niet eens in de vorm waarin ze naar winkels gaan.
Ten tweede de vorm. Een uitgelekte interne versie is een ontwikkelversie. Die draait op speciale ontwikkelhardware, mist beveiligingslagen die pas later worden toegevoegd en komt niet als een keurig installatieprogramma voor Windows. Alles wat zichzelf netjes installeert, is dus door iemand gemaakt met een ander doel.
Ten derde de bron zelf. In de lekken rond Rockstar gaat het tot nu toe over schermafbeeldingen, ontwikkelbestanden en filmpjes. Niemand heeft een speelbaar spel gepubliceerd, en dat is precies het onderscheid dat een nepbestand nodig heeft om geloofd te worden.
Wat je werkelijk riskeert
Tot slot het deel dat mensen onderschatten, want de schade is allang niet meer een gewiste harde schijf.
Wat er tegenwoordig in dit soort bestanden zit, is doorgaans een infostealer. Die leest in enkele seconden je opgeslagen browserwachtwoorden uit, plus je cryptowallets en je aanmeldgegevens voor Steam en Discord.
Het gevaarlijkste onderdeel is het minst bekende: je sessiecookies. Dat zijn de bestandjes waarmee je browser onthoudt dat je al bent ingelogd. Wie die steelt, hoeft je wachtwoord niet te kennen en komt langs je tweestapsverificatie heen, want die stap is al gezet.
Ben je toch iets tegengekomen en heb je het gedraaid, dan is je wachtwoord wijzigen niet genoeg. Je moet overal je actieve sessies uitloggen, want anders zit de aanvaller er nog gewoon in met de sleutel die hij al had.