Cercetătorii descoperă o eroare în CS:GO care ar putea permite hackerilor să preia controlul computerului tău

Cu creșterea atacurilor cibernetice la nivel mondial, ai crede că companiile acordă mai multă atenție infrastructurii lor de securitate. Se pare că acesta nu este cazul Valve Corporation. Mai mulți cercetători în securitate au descoperit un bug în jocul Counter-Strike: Global Offensive (CS:GO) al Valve, care ar putea permite entităților rău intenționate să preia controlul asupra computerului unui utilizator. Unul dintre cercetătorii care au descoperit inițial acest bug l-a raportat în 2019, dar Valve a ignorat raportul până la un strigăt public recent. În acest articol, vom vorbi despre situația care înconjoară acest bug de securitate.

Ce este Counter-Strike: Global Offensive (CS:GO)?

Counter-Strike este o serie de jocuri video multiplayer de tip shooter din perspectiva întâi în care două echipe concurează una împotriva celeilalte. Fiecare unitate este compusă din cinci jucători și trebuie să îndeplinească anumite obiective pentru a câștiga. Un grup are rolul de Teroriști (Ts) care caută să comită un act de teroare, în timp ce celălalt grup are rolul de Contra-Teroriști (CTs). Ca și majoritatea jocurilor shooter din perspectiva întâi, jocul recompensează jucătorii cu o monedă în joc pe care o pot cheltui pe arme și alte lucruri. Există diferite moduri cu obiective și caracteristici diferite.

Lansat inițial pe Windows OS în 2000, Counter-Strike a crescut să devină unul dintre cele mai proeminente jocuri first-person shooter din istorie. Este disponibil pe macOS, Windows, Linux, PS3 și Xbox360. Seria Counter-Strike are patru jocuri principale: Counter-Strike, Condition Zero, Source și Global Offensive. Deși au existat spin-off-uri, aceste patru serii sunt cele pe care majoritatea oamenilor le-au jucat de-a lungul anilor. 

Cea mai recentă lansare este Global Offensive, dezvoltată și lansată de Valve pe 21 august 2012. Aproximativ 11 milioane de persoane joacă lunar pe platforma Steam a Valve. De la începuturile sale, Counter-Strike a participat la mai multe turnee competitive, inclusiv Cyberathlete Professional League, World Cyber Games și Electronic Sports World Cup. Valve găzduiește cel mai prestigios turneu de Counter-Strike și îl numește „Counter-Strike: Global Offensive Major Championships”.

Cercetătorii Descoperă un Bug în CS:GO

Un grup de hackeri cu pălărie albă cunoscut sub numele de The Secret Club a descoperit o nouă vulnerabilitate în jocul Counter-Strike: Global Offensive care îi permite unui hacker să preia controlul sistemului tău de calcul dacă dai clic pe o invitație de a juca jocul pe Steam. Folosind sistemul de invitații Steam, hackerii pot exploata bug-ul și să fure date personale de la oricine dă clic pe linkul invitației prin executarea de cod la distanță (RCE). Un membru al The Secret Club a descoperit bug-ul în Source, un motor de joc 3D pe care Valve l-a dezvoltat. Există mai multe jocuri care folosesc motorul Source, inclusiv Counter-Strike: Global Offensive. Totuși, majoritatea jocurilor care folosesc motorul Source nu mai au acest bug. Din păcate, jucătorii de Counter-Strike: Global Offensive vor fi îngroziți să afle că acest bug încă există în joc.

Un membru al The Secret Club numit Florian (@floesen_ pe Twitter) a raportat inițial bug-ul către Valve acum doi ani (2019), dar echipa Valve nu a făcut nimic pentru a-l repara. Florian, un cercetător student, a explicat că și-a exprimat îngrijorările privind defectul de execuție a codului la distanță către Valve prin HackerOne. HackerOne este o platformă de recompense pentru bug-uri pe care hackerii o pot folosi pentru a contacta companii precum Valve dacă descoperă bug-uri sau vulnerabilități. 

Florian a dezvăluit că, deși a marcat bug-ul ca fiind critic, echipa Valve nu a făcut niciun efort pentru a-l repara și a fost lentă în răspunsurile la discuțiile despre bug. Este de neconceput ca o companie cu resursele și influența pe care le are Valve să nu ia în serios subiectul unei breșe de securitate. Se pare că acesta este trendul cu Valve, deoarece The Secret Club a dezvăluit pe Twitter că Valve a procedat la fel și cu alte două vulnerabilități pe care membrii echipei le-au raportat.

Valve Plătește Recompensa Dar Refuză Să Repare Bug-ul

Nu mai este o noutate că Florian a raportat bug-ul RCE, iar Valve nu l-a reparat. Ceea ce este șocant este că Valve a recunoscut raportul lui Florian acum aproximativ șase luni și i-a plătit recompensa, dar tot nu a reparat vulnerabilitatea. El a spus că ultima dată când a auzit de Valve a fost acum șase luni, când i-au plătit recompensa prin HackerOne. Valve chiar i-a asigurat că lucrează la repararea vulnerabilității, având în vedere că anterior a reparat ceva similar într-un joc care folosește motorul Source. 

Cercetătorul student a explicat că a confirmat că Valve a reparat într-adevăr acel joc. Florian nu a dezvăluit ce joc a reparat Valve și a explicat motivul într-o declarație. “Am decis intenționat să nu menționăm acest lucru deoarece nu dorim ca oamenii să caute patch-ul în binarele jocului, deoarece acest lucru ar reduce semnificativ efortul de a reconstrui exploit-ul pentru toate celelalte jocuri nepatch-uite.” Noi, totuși, nu înțelegem de ce Valve a decis să ignore vulnerabilitatea CS:GO timp de aproximativ doi ani.

Din cauza politicii Valve de pe HackerOne, care împiedică vânătorii de recompense pentru bug-uri să raporteze exploit-uri, Florian nu a publicat un raport detaliat despre bug. Alte programe de recompense pentru bug-uri de pe HackerOne urmează de obicei o politică care le permite cercetătorilor să dezvăluie vulnerabilitățile dacă compania nu le rezolvă după o perioadă specificată (de obicei, în jur de 90 sau 180 de zile). Valve, pe de altă parte, nu are o astfel de politică.

Alți cercetători confirmă că Valve a ignorat rapoartele despre eroare

Alți cercetători au confirmat că bug-ul din CS:GO există și că Valve a ignorat rapoartele despre acesta. Carl Schou, un membru de frunte al The Secret Club, a explicat că actorii rău intenționați ar putea folosi bug-ul din CS:GO pentru a fura date sensibile, inclusiv informații financiare și alte acreditări. Cel puțin alți trei cercetători susțin că Valve a ignorat rapoartele lor. Aceștia au postat diferite videoclipuri care arată cum funcționează defectul de execuție a codului la distanță atunci când un utilizator acceptă o invitație pe un server comunitar rău intenționat.

Brymko (@brymko pe Twitter), Carl Smith (@cffsmith pe Twitter) și Simon Scannell (scannell_simon) au toți videoclipuri pe YouTube în care demonstrează defectul RCE din CS:GO. După ce și-a postat videoclipul demonstrativ al exploit-ului pe Twitter, un alt cercetător a explicat cum a raportat și el bug-ul, dar Valve a ignorat raportul său pentru mai mult de un an. Bien Pham (@bienpnn pe Twitter), un inginer software, spune că a raportat bug-ul la Valve pe 2 aprilie 2020, și compania l-a ignorat. 

Valve Repară În Sfârșit Bug-ul

Pe 17 aprilie 2021, Florian (@floesen_ pe Twitter) a postat acest lucru pe Twitter: „Vești bune! Valve a rezolvat exploit-ul meu recent și mi-a dat permisiunea să dezvălui detalii. Având spus asta, lucrez la un articol tehnic detaliat pe care urmează să-l public curând. Stați pe-aproape!” Deși aceasta este o veste excelentă, neglijența Valve arată că nu îi pasă de protejarea informațiilor personale ale utilizatorilor săi sau de integritatea jocurilor sale.

Pe contul său de Twitter, The Secret Club a raportat câteva alte bug-uri pe care Valve nu le-a rezolvat. Acestea includ un bug de server comunitar pe Team Fortress 2 și alte două bug-uri RCE în CS:GO. Va fi nevoie de o altă revoltă publică înainte ca Valve să rezolve aceste bug-uri?

Istoria Valve de a Ignora Bug-urile

În august 2019, Vasily Kravets, un cercetător în securitate, a publicat public un exploit zero-day în platforma Steam a Valve după ce Valve l-a interzis din programul său de recompense pentru descoperirea de bug-uri HackerOne. El a descoperit o defecțiune în clientul Steam pe care orice entitate rău intenționată ar fi putut să o exploateze. Bug-ul era o vulnerabilitate de escaladare a privilegiilor care ar fi permis unui actor rău să ruleze orice program cu cele mai înalte drepturi de acces posibile pe un sistem Windows cu Steam al Valve instalat.

De fapt, el a descoperit mai mult de un bug și a mers public doar după descoperirea celui de-al doilea bug. După descoperirea primului bug, a trimis un raport pe HackerOne pe care Valve l-a respins pentru că echipa sa de pe HackerOne nu credea că bug-ul reprezintă o problemă de securitate. Apoi, a descoperit un al doilea bug și a încercat să-l raporteze, dar Valve l-a interzis pe platforma sa de recompense pentru bug-uri HackerOne. 

La patruzeci și cinci de zile după descoperirea inițială a lui Vasily Kravet, acesta a publicat raportul public, chiar dacă HackerOne i-a interzis să facă acest lucru. Totuși, după strigătele lui publice, Valve a reparat exploitul de escaladare a privilegiilor. Valve a recunoscut că a făcut o greșeală clasificând descoperirea inițială a lui Kravet ca fiind în afara domeniului de aplicare. De asemenea, și-a actualizat ghidurile de raportare a erorilor pentru a preveni repetarea acestui tip de eroare.

Concluzie

Trecutul și prezentul Valve au arătat că acordă puțină atenție pentru a se asigura că utilizatorii săi Steam au cea mai bună securitate. Având în vedere antecedentele sale, s-ar putea să vrei să te gândești de două ori înainte de a merge mai departe cu oricare dintre produsele sau serviciile sale. Din fericire, Valve a rezolvat bug-ul din CS:GO care ar fi putut permite actorilor rău intenționați să preia controlul sistemului tău informatic.