Platforma Steam od lat uchodzi za jedno z najbezpieczniejszych miejsc do kupowania i uruchamiania gier na komputerach. Okazuje się jednak, że nawet tutaj cyberprzestępcy potrafią znaleźć lukę, którą wykorzystają przeciwko graczom. Tym razem nie zaatakowali samej platformy ani plików gry.
Ofiarą padł hitowy Meccha Chameleon, którego społeczność masowo tworzy własne mapy dostępne przez Steam Workshop. Badacz bezpieczeństwa odkrył, że jedna z nich zawierała złośliwe oprogramowanie, które mogło zostać pobrane przez niczego nieświadomych graczy. Twórcy gry szybko zareagowali, ale sprawa pokazuje, że nawet popularne platformy nie są wolne od zagrożeń.
Nie gra była problemem
Alarm podniósł badacz bezpieczeństwa posługujący się pseudonimem Feint. Zwrócił uwagę na zgłoszenia graczy, którzy zauważyli, że podczas pobierania jednej z map na ekranie na moment pojawiało się okno wiersza poleceń. Po analizie okazało się, że mapa Laser Tag Neon, a później również Chroma Grid Arena, zawierały ukryty mechanizm uruchamiający złośliwy skrypt.
Atak nie wykorzystywał żadnego błędu w samym Steamie. Złośliwy kod został ukryty w zawartości pobieranej automatycznie z Steam Workshop, czyli platformy pozwalającej społeczności publikować własne modyfikacje i mapy do gier.
Jak działał atak?
Według opublikowanej analizy zainfekowana mapa uruchamiała ukryty skrypt, który tworzył plik wsadowy, następnie wywoływał PowerShell i próbował pobrać kolejne elementy zewnętrznego oprogramowania z serwera kontrolowanego przez napastników. Wszystko odbywało się praktycznie bez wiedzy użytkownika.
Szczególnie niepokojące jest to, że gracze nie musieli ręcznie pobierać podejrzanych plików. Wystarczyło dołączyć do serwera korzystającego z odpowiedniej mapy, a Steam automatycznie pobierał potrzebne zasoby. To właśnie ten mechanizm stał się furtką dla cyberprzestępców.
Twórcy szybko załatali problem
Studio Haganeiro potwierdziło istnienie luki i opublikowało aktualizację 3.1.0, która usuwa podatność. Twórcy zapewniają również, że złośliwe mapy zostały unieszkodliwione, a sama gra nie zawiera żadnego wirusa.
Przy okazji wyszło na jaw, że podczas usuwania problemu doszło także do przejęcia oficjalnego serwera Discord gry. Haker wykorzystał zainfekowany komputer jednego z administratorów, przejął uprawnienia i zablokował pozostałych członków zespołu. Ostatecznie deweloperom udało się odzyskać kontrolę nad społecznością i usunąć napastników.
Lekcja dla wszystkich graczy
Incydent pokazuje, że zagrożeniem może być nie tylko podejrzany instalator pobrany z nieznanej strony, ale również treści tworzone przez społeczność i pobierane automatycznie. Choć Steam Workshop posiada mechanizmy moderacji, nie są one w stanie wychwycić wszystkich prób ukrycia złośliwego kodu.
Jeżeli korzystacie z modów i niestandardowych map, warto zachować ostrożność. Dobrym pomysłem jest pobieranie dodatków od sprawdzonych autorów, zwracanie uwagi na opinie innych użytkowników oraz regularne aktualizowanie gier i systemu operacyjnego. Tym razem zagrożenie udało się szybko opanować, ale nie można wykluczyć, że podobne ataki pojawią się również w innych popularnych tytułach.
Źródło:
Zdjęcie otwierające: Steam