Wirusy rozprzestrzeniane za pośrednictwem przedmiotów z Warsztatu Steam nie są niczym nowym – wszak w przeszłości informowaliśmy już o podobnym procederze z udziałem Wallpaper Engine i aplikacji udających animowane tapety. Ba, zdarzały się i takie sytuacje, że to sama gra miała ukryte w kodzie złośliwe skrypty, które potrafiły ogołocić kryptowalutowy portfel pechowego gracza. Tym razem sytuacja wygląda jednak nieco inaczej, albowiem hakerzy postanowili podjąć próbę rozprzestrzenia złośliwego kodu za pośrednictwem… autorskich map do popularnej gry Meccha Chameleon. Co istotne, ich działania przyniosły zamierzony skutek, w wyniku czego nawet oficjalny kanał tytułowej produkcji na Discordzie został przejęty.
Złośliwy kod ukryty w Warsztacie Steam
Jak podaje redakcja Dexerto, afera została zapoczątkowana za sprawą napływu doniesień ze strony graczy, którzy zauważyli niepokojące zachowanie swojego systemu – podczas ładowania niestandardowych map w grze Meccha Chameleon na ekranie na chwilę pojawiały się okna wiersza poleceń, co nie jest normalnym zachowaniem i słusznie wzbudziło obawy. Niezależny badacz bezpieczeństwa posługujący się pseudonimem Feint przeprowadził śledztwo, które ujawniło poważną lukę w grze. Swoimi odkryciami internauta podzielił się za pośrednictwem aktualizowanego na bieżąco artykułu opublikowanego na łamach Medium. Jak możemy w nim przeczytać:
Na ekranie pojawiło się na około sekundę czarne okno wiersza poleceń, po czym zniknęło. Pojawiło się ono, gdy Steam wciąż pobierał mapę z Workshopu, dokładnie w momencie, gdy gra przechodziła do jej ładowania na potrzeby meczu. Nie doszło do żadnych awarii, nie pojawiły się komunikaty o błędach ani żadne inne nietypowe zachowania. Samo w sobie można by to łatwo uznać za proces działający w tle w Steamie, ale pojawienie się okna konsoli podczas pobierania mapy z Workshopu i uruchamiania meczu było na tyle nietypowe, że postanowiłem to zbadać.
Feint
Odkryto, że zmodyfikowana mapa o nazwie Laser Tag Neon zawierała skrypt zapisujący plik .bat w systemowym folderze z dokumentami. Plik ten wykorzystywał narzędzie PowerShell do pobrania i uruchomienia złośliwego oprogramowania z zewnętrznego serwera, niemniej w trakcie pierwszej analizy nie udało się ustalić, jaki był końcowy cel tego procederu. Z biegiem czasu na jaw wyszło, iż na zarażonego peceta ściągany był trojan, który dawał napastnikom pełną i stałą kontrolę nad zainfekowanym komputerem. Co ważne, sama subskrypcja mapy w Warsztacie Steam nie powodowała infekcji – złośliwy kod uruchamiał się dopiero po dołączeniu do toczącej się na niej rozgrywki.
Zniknięcie Laser Tag Neon z Warsztatu Steam nie było przy tym końcem kłopotów, albowiem dosłownie chwilę później na platformie zagościła inna zainfekowana plansza, tym razem nazwana Chroma Grid Arena. Wszystko wskazuje jednak na to, iż pożar wreszcie został zażegnany.
Inżynier zainfekował własny komputer
Najbardziej zdumiewający zwrot akcji nastąpił podczas próby zbadania problemu przez samych twórców gry. Inżynier systemu z zespołu LEMORION, analizując złośliwe mapy na zapasowym komputerze, przypadkowo doprowadził do zainfekowania własnego urządzenia.
Stanęło na tym, iż za pośrednictwem przejętej maszyny hakerom udało się uzyskać do konta Discord pechowca, ominąć dwuskładnikowe uwierzytelnianie i zmienić ustawienia na oficjalnym serwerze gry. Deweloperzy oraz dotychczasowi administratorzy pożegnali się z uprawnieniami, a napastnicy skorzystali z okazji, aby opublikować fałszywe komunikaty, wedle których to oficjalny plik instalacyjny gry na Steam zawiera złośliwe oprogramowanie.
Deweloperzy stanowczo zaprzeczyli tym doniesieniom, podkreślając, że w wyniku tego niefortunnego incydentu nie doszło do wycieku kodu źródłowego gry, plików produkcyjnych ani kont deweloperskich na platformie Steam.
Wypuszczona niedawno aktualizacja 3.1.0 do Meccha Chameleon całkowicie załatała lukę umożliwiająca przesyłanie wirusów za pośrednictwem niestandardowych map, co też zostało potwierdzone przez Feinta.
Twórcy wydali wersję 3.1.0, która usuwa lukę umożliwiającą złośliwym mapom z Workshopu uruchamianie złośliwego oprogramowania. Zdecydowanie zaleca się aktualizację do najnowszej wersji. Wygląda również na to, że wszystkie obecnie zidentyfikowane złośliwe mapy z Workshopu zostały już usunięte ze Steam Workshop. Chociaż wydaje się, że bezpośrednie zagrożenie zostało wyeliminowane, użytkownicy powinni nadal zachowywać ostrożność podczas pobierania treści z Workshopu, ponieważ w przyszłości mogą pojawić się nowe złośliwe mapy. Jak zawsze, należy weryfikować autora i wybierać mapy od zaufanych twórców, którzy mają ugruntowaną pozycję wśród graczy.
Feint
Zalecono przy tym, aby osoby, które uruchamiały pochodzące z Warsztatu poziomy, czym prędzej przeskanowały swój komputer pod kątem obecności niechcianego oprogramowania.
0 komentarzy