Баг Steam позволял получить ключи активации от любой игры

Баг Steam позволял получить ключи активации от любой игры

Украинский исследователь в области безопасности нашел интересный баг в сервисе Steam, который позволил ему загрузить все ключи активации (также — CD-ключи). Брешь затрагивает платформу Steamworks, которую Valve запустила для помощи разработчикам в публикации игр.

Проблему обнаружил Артем Московский, она присутствует в API Steam, находящемся по адресу:

partner.steamgames.com/partnercdkeys/assignkeys/

Этот API позволяет разработчикам предоставлять CD-ключи пользователям, которые смогут активировать игру, установленную с помощью клиента Steam.

Доступ к API можно получить, используя обычный аккаунт Steam, потребуется всего лишь несколько параметров: appid (представляет идентификатор игры), keyid (идентификатор набора ключей) и keycount (представляет количество ключей).

Московский утверждает, что при обычных обстоятельствах, если вы пытаетесь получить ключи для игр, которыми не владеете, API выдаст вам ошибку. Именно это и должно происходить, по идее, исходя из соображений безопасности.

Однако специалист смог обойти эти ограничения, просто установив значение keycount на «0». Таким образом эксперту удалось получить файл с наборами ключей, предназначенных для любой игры. И это даже при условии, что у пользователя не должно быть доступа к такому набору данных.

Московский сообщил о проблеме Valve в августе, и только сейчас ему разрешили раскрыть детали. Уязвимость в настоящее время устранена.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Activision изучает вредоносную программу, ворующую пароли геймеров

Компания Activision, разрабатывающая крупные игровые проекты, изучает киберпреступную кампанию, в ходе которой злоумышленники утаскивают пароли геймеров с помощью неидентифицированного вредоноса.

Пока не очень понятно, как именно, но атакующим удаётся установить в системы игроков вредоносную программу, собирающую учётные данные от аккаунтов в системе Activision, а также криптовалютные кошельки.

Слова анонимного источника передаёт издание TechCrunch:

«Игровой гигант пытается помочь пользователям удалить вредонос с компьютеров и параллельно вычисляет затронутые кампанией аккаунты. На данный момент мало данных относительно вектора проникновения зловреда, однако есть мысль, что пострадавшие геймеры устанавливали сторонние инструменты».

В пресс-службе Activision подчеркнули, что компания в курсе кражи паролей ряда игроков. Отдельно отмечается, что серверы Activision никак не затронуты вредоносной активностью.

Судя по всему, первым на атаки указал специалист под ником Zeebler, разрабатывающий и продающий читы для Call of Duty. По его словам, вредоносная программа устанавливается на компьютеры геймеров, использующих именно инструменты читинга.

Как объясняет Zeebler, вредоносная программа маскируется под легитимный софт. Кстати, одним из пострадавших стал клиент Zeebler, после чего девелопер начал изучать кампанию и вышел на базу со скомпрометированными учётными данными.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru