Valve выплатила эксперту $20 тыс. за обнаруженный в Steam баг

Valve выплатила эксперту $20 тыс. за обнаруженный в Steam баг

Valve выплатила эксперту $20 тыс. за обнаруженный в Steam баг

Артем Московский, украинский исследователь в области безопасности, который обнаружил баг в сервисе Steam, получил от компании Valve $20 тысяч. Напомним, что уязвимость в API для разработчиков позволяла генерировать ключи активации для абсолютной любой игры, размещенной в Steam.

Для эксплуатации этой бреши злоумышленникам требовалось всего лишь изменить один параметр, который используется для доступа к API. Используя этот изъян, Московский смог создать 36 000 ключей для игры Portal 2, передает портал PCGamesInsider.

Специалист поступил порядочно — не став использовать уязвимость в своих целях, он сообщил о находке Valve в августе этого года. Уязвимость в настоящее время устранена.

Проблема безопасности присутствовала в API Steam, находящемся по адресу:

partner.steamgames.com/partnercdkeys/assignkeys/

Этот API позволяет разработчикам предоставлять CD-ключи пользователям, которые смогут активировать игру, установленную с помощью клиента Steam.

Доступ к API можно получить, используя обычный аккаунт Steam, потребуется всего лишь несколько параметров: appid (представляет идентификатор игры), keyid (идентификатор набора ключей) и keycount (представляет количество ключей).

Московский утверждает, что при обычных обстоятельствах, если вы пытаетесь получить ключи для игр, которыми не владеете, API выдаст вам ошибку. Именно это и должно происходить, по идее, исходя из соображений безопасности.

Однако специалист смог обойти эти ограничения, просто установив значение keycount на «0». Таким образом эксперту удалось получить файл с наборами ключей, предназначенных для любой игры. И это даже при условии, что у пользователя не должно быть доступа к такому набору данных.

Мошенники устроили распродажу невостребованных новогодних подарков

Киберполиция Санкт-Петербурга предупреждает о новой волне мошенничества в мессенджерах. Обманщики от имени крупных ретейлеров предлагают по бросовым ценам купить «зависшие» новогодние подарки — электронику и бытовую технику.

Новая приманка служит единственной цели: заполучить СМС-код на доступ к онлайн-банкингу. Откликнувшихся злоумышленники просят его прислать, чтобы подтвердить бронь, оплату либо участие в мифической акции.

Киберкопы призывают россиян к бдительности и советуют проверять щедрые посулы в официальных источниках. Крупные торговые сети, как правило, анонсируют распродажи и скидки на своих сайтах и в аккаунтах; можно также уточнить информацию по опубликованному контактному телефону.

Одноразовые коды из СМС и пуш-уведомлений добросовестные продавцы никогда не запрашивают. Если вы уже его передали, следует незамедлительно связаться с банком, сменить пароль, заблокировать операции по счету и провести проверку на предмет подозрительных списаний, а также несанкционированного оформления подписок и кредитов.

По всей видимости, принимаемые властями меры противодействия мошенничеству, а также информационно-просветительская работа экспертов и правоохраны приносят свои плоды, и доходы мошенников, обычно возрастающие в сезон праздничных распродаж, стали падать.

Чтобы удержаться на плаву, аферистам приходится постоянно придумывать новые приманки и совершенствовать их, в том числе с помощью ИИ, и использовать малейший предлог для проведения атак в попытках добрать то, что не удалось привычно украсть в преддверии больших праздников.

RSS: Новости на портале Anti-Malware.ru