В Steam устранена серьезная уязвимость в шифровании

В Steam устранена серьезная уязвимость в шифровании

Разработчики компании Valve выпустили обновление для клиента Steam, устранив очень серьезную проблему с шифрованием. Несколько уязвимостей обнаружил девятнадцатилетний исследователь Натаниэль Тейс (Nathaniel Theis), так же известный как XMPPwocky. Тейс пишет, что при соблюдении определенных условий, атакующий мог получить доступ к трафику жертв и перехватывать пароли в виде простого текста.

Чтобы разобраться в атаке, представленной Тейсом, нужно понимать, как работает криптография в Steam. Steam шифрует весь важный трафик, используя сессионный ключ, которые генерируется при помощи алгоритма AES-256-CBC, шифруется с применением RSA-1024 и жестко закодированного публичного ключа, а затем отправляется на серверы Valve, где и используется для дешифрации трафика идущего от пользователя.

В блоге на steamdb.info Тейс подробно рассказал, что обнаружил проблему в системе аутентификации, так как специалисты Valve не сумели должным образом защитить используемый MAC (Message Authentication Code). Это позволило исследователю реализовать man-in-the-middle атаки с применением replay, которые приводили либо к VAC-бану ни в чем неповинных пользователей, либо вообще раскрывали их пароли в виде простого текста. Последнее стало возможно благодаря использованию атак padding oracle (PDF), которые помогли исследователю по частям восстановить содержимое отдельных секретных идентификаторов, сообщает xakep.ru.

Исследователь сообщает, что на устранение проблемы Valve понадобилось меньше суток, — временное исправление было выпущено менее чем через 12 часов, а позже был представлен полноценный патч.

Тейс рассказал, что в исследовании ему помогал друг, известный под псевдонимом Zemnmez. Так как у Valve нет официальной bug bounty программы, обоих исследователей включили в зал славы Valve’s Security, а также вознаградили уникальными внутриировыми шапками Finder’s Fee с Burning Flames эффектом.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенник поделился подробностями афер

Осуждённый по статье 158 УК РФ (кража) злоумышленник, похитивший за почти два года более 4 млн рублей, рассказал, как занимался криминальной деятельностью и из-за чего в итоге был разоблачён.

Корреспондент издания «Лента.ру» взял интервью у Дмитрия, жителя Краснодара, отбывающего наказание в колонии за серию дистанционных краж. Его жертвами стали люди из разных регионов — от Калининграда до Приморья.

По словам Дмитрия, к преступной деятельности он пришёл в 2018 году после потери работы. Он пробовал разные схемы дистанционного мошенничества, но либо они не срабатывали, либо приносили слишком малый доход.

Только в июне 2020 года сработала схема, которую он придумал ранее: использование старых мобильных номеров, повторно выставленных на продажу. Дмитрий находил такие номера на сайтах операторов и проверял, не были ли они ранее привязаны к личным кабинетам на портале Госуслуг.

Пароли он подбирал с помощью фишинга, пользуясь тем, что многие используют один и тот же пароль для разных сервисов: «Я находил контакты бывшего владельца номера и, если получалось, сразу выкупал номер. Затем отправлял ему фишинговую ссылку на сайт, который сам создавал — якобы с очень выгодным предложением.

«Многие россияне используют один и тот же пароль — дату рождения, имя с отчеством или другие простые комбинации. Когда связка логина и пароля оказывалась у меня, я заходил на портал Госуслуг, аутентифицировался через купленный номер и менял пароль».

Подобная схема стала массово применяться мошенниками только в мае 2024 года — на это обратила внимание компания DLBI.

После получения доступа к аккаунту Дмитрий оформлял в банке кредитную карту на имя владельца. Средства с неё он выводил ещё до физического получения карты — на подконтрольные счета через подставные карты. По данным источников издания в правоохранительных органах, таких звеньев в цепочке может быть до 40, что серьёзно затрудняет расследование.

По словам Дмитрия, он никогда не работал из дома — всегда подключался к чужим точкам Wi-Fi и избегал камер видеонаблюдения.

За полтора года ему удалось похитить 4,75 млн рублей. Его задержали после того, как он потерял осторожность: находясь в состоянии опьянения, он попытался провернуть очередную операцию из квартиры, оформленной на его имя. Уже через несколько дней его вычислили оперативники.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru