Киберпреступники отмывают деньги на продаже валюты для онлайн-игр

Киберпреступники отмывают деньги на продаже валюты для онлайн-игр

Киберпреступники отмывают деньги на продаже валюты для онлайн-игр

Компания Trend Micro представила краткое содержание и основные выводы отчета «Киберпреступная основа продажи игровой валюты». Индустрия онлайн-игр является одной из самых прибыльных, поэтому неудивительно, что она давно стала желанной целью киберпреступников.

До недавнего времени их атаки были нацелены преимущественно на кражу учетных записей пользователей и данных банковских карт. Но поскольку эти данные нельзя быстро монетизировать, в последнее время хакеры переключились на зарабатывание денег на продаже игровой валюты.

Каждая онлайн-игра имеет свой тип валюты, которую игроки используют для покупки предметов, оружия, компетенций и разных других сервисов. Обычно эта валюта зарабатывается в ходе игры за счет выполнения различных заданий или при переходе с одного уровня на другой. Однако также существуют и альтернативные способы ее получения, одним из которых является Real Money Trading (RMT) – покупка виртуальной валюты за реальные деньги на специализированных интернет-площадках.

В большинстве виртуальных игр такой способ получения валюты является запрещенным, а против тех, кто его использует, применяются специальные меры. Как показывает исследование Trend Micro, продажа игровой валюты на сторонних площадках не только наносит ущерб компаниям-разработчикам онлайн-игр и демотивирует игроков, зарабатывающих виртуальную валюту в соответствие с правилами игры, но также является достаточно распространенным у киберпреступников способом отмывания денег.

Главные выводы отчета:

  1. Лидерами по числу вторичных площадок для продажи игровой валюты являются игры в жанре MMORPG, такие как World of Warcraft, Guild Wars/Guild Wars 2, LeagueofLegends и Final Fantasy XIV.
  2. Рынок продажи виртуальной валюты за реальные деньги в основном ориентирован на игры для ПК. Существенно меньшее число площадок продает валюты для игровых устройств, таких как Xbox, PlayStation и др.
  3. Процесс отмывания денег с помощью продажи игровой валюты состоит из пяти основных этапов: получение игровой валюты, продвижение на специальных площадках или в соцсетях, получение платежей, конвертация в криптовалюту, финансирование других киберкриминальных активностей.
  4. Основными способами получения игровой валюты для продажи на сторонних площадках являются: кража валюты у отдельных пользователей с помощью троянов и других вредоносных программ, использование ошибок или уязвимостей игровых алгоритмов для нелегитимного получения игровой валюты, голд фарминг – использование многочасового труда низкооплачиваемых геймеров, а также боттинг – использование специальных программ для автоматизации деятельности человека в процессе игры.

Отмыванию денег с помощью продажи виртуальной валюты способствует тот факт, что в большинстве стран продажа игровых денег не запрещена и никак не регулируется. Тем не менее, как следует из отчета, эта деятельность не является полностью безобидной, поскольку для получения игровой валюты используются киберпреступные методы. Кроме того, авторам исследования удалось установить связь между отмыванием игровой валюты и финансированием киберпреступной деятельности. 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Две уязвимости в ksmbd Linux позволяют получить root через SMB

Без лишней мистики: исследователь в области кибербезопасности BitsByWill подробно разобрал две критические уязвимости в ksmbd — встроенном в ядро Linux SMB-сервере. Речь о CVE-2023-52440 и CVE-2023-4130 — и самое неприятное, что они отлично склеиваются в рабочую эксплойт-цепочку.

Первая уязвимость, CVE-2023-52440, описывается как контролируемое SLUB-переполнение в функции ksmbd_decode_ntlmssp_auth_blob().

Как пишет BitsByWill, длина sess_key_len контролируется пользователем, и при определённой подаче данных можно переполнить фиксированный буфер sess_key во время вызова cifs_arc4_crypt. Проще говоря — достаточно модифицировать одну строку в ntlm-клиентской библиотеке (в примере — Impacket), чтобы сгенерировать специально подготовленное NTLM-сообщение и получить неаутентифицированное удалённое переполнение буфера с контролем размера и содержимого.

Вторая уязвимость, CVE-2023-4130, — это чтение за пределами буфера (OOB read) в smb2_set_ea(). Из-за плохой проверки расширенных атрибутов (EA) злоумышленник с правом записи на шаре может заставить ksmbd неправильно интерпретировать структуру и считать дополнительные записи. В результате соседние данные кучи попадают в xattr, откуда их можно извлечь через SMB3 queryInfo. То есть брешь позволяет вытянуть части памяти ядра и, например, сломать KASLR.

И вот где всё становится опасно: переполнение даёт запись, чтение даёт утечку. Связав CVE-2023-52440 и CVE-2023-4130, BitsByWill показал рабочий путь до реального ROP-эксплойта.

Для демонстрации потребовались учётные данные пользователя с правом записи на шару, поэтому исследователь пишет о 0-click с аутентификацией — формулировка спорная, но смысл понятен: если админ разрешил анонимную запись в шаре, шанс эксплуатации становится ещё выше.

Авторы анализа подчёркивают практические сценарии: модификация таблиц страниц для произвольного чтения/записи, вынимание секретов из соседних процессов или подготовка ROP-цепочки для исполнения кода в контексте ядра. Всё это — классика эскалации привилегий, но в данном случае — прямо через SMB-интерфейс ядра.

Патчи уже вышли, и производители/поддерживающие дистрибутивы закрывали эти баги, но реальная угроза — не только в уязвимом коде, а в конфигурациях и устаревших системах. Как обычно, напомним: открытые для записи шар-ресурсы, устаревшее ПО и несвоевременное обновление — идеальная среда для подобных атак.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru