Badacze: protokół Steam URL może zostać wykorzystany do wykorzystania luk w grze

Atakujący mogą nadużywać sposobu, w jaki przeglądarki i inne aplikacje obsługują steam: // adresy URL protokołów, aby wykorzystać poważne luki w kliencie Steam lub grach zainstalowanych na platformie, według naukowców z badanie i analiza luk w zabezpieczeniach firmy ReVuln.

Steam to popularna platforma do cyfrowej dystrybucji i zarządzania prawami do gier, a od tego samego miesiąca inne produkty. Według firmy Valve Corporation, która opracowała i obsługuje platformę, Steam oferuje ponad 2000 tytułów i ma ponad 40 milionów aktywnych kont.

Klient Steam może działać na systemach Windows, Mac OS X i Linux, chociaż tylko w wersji beta w tym ostatnim systemie operacyjnym.

[Dalsze informacje: Jak usunąć złośliwe oprogramowanie z komputera z systemem Windows]

Kiedy klient Steam jest zainstalowany w systemie, rejestruje się jako obsługa protokołu steam: // URL. Oznacza to, że za każdym razem, gdy użytkownik kliknie URL steam: // w przeglądarce lub innej aplikacji, adres URL jest przekazywany do klienta Steam w celu wykonania.

Steam: // URL może zawierać polecenia protokołu Steam do zainstalowania lub odinstaluj gry, aktualizuj gry, uruchom gry z określonymi parametrami, kopiuj pliki lub wykonuj inne obsługiwane działania.

Atakujący mogą nadużywać tych poleceń, aby zdalnie wykorzystać luki w kliencie Steam lub grach Steam zainstalowanych w systemie, nakłaniając użytkowników do złośliwego otwierania Crafted steam: // URL, badacze i założyciele bezpieczeństwa ReVuln, Luigi Auriemma i Donato Ferrante, napisali w artykule opublikowanym w poniedziałek.

Problem polega na tym, że niektóre przeglądarki i aplikacje automatycznie przekazują steam: // URL-e do klienta Steam bez pytania o potwierdzenie od użytkowników, powiedzieli naukowcy. Inne przeglądarki wymagają potwierdzenia użytkownika, ale nie wyświetlają pełnych adresów URL ani nie ostrzegają przed niebezpieczeństwem, jakie niesie ze sobą zezwolenie na takie adresy URL.

Według testów przeprowadzonych przez naukowców ReVuln, Internet Explorer 9, Google Chrome i Opera wyświetlają ostrzeżenia i pełne lub częściowe adresy URL steam: // przed przekazaniem ich do klienta Steam w celu wykonania. Firefox żąda również potwierdzenia przez użytkownika, ale nie wyświetla adresu URL i nie ostrzega, podczas gdy Safari automatycznie wykonuje kontrole steam: // bez potwierdzenia użytkownika.

"Wszystkie przeglądarki, które wykonują zewnętrzne procedury obsługi adresów URL bezpośrednio, bez ostrzeżeń a te oparte na silniku Mozilli (takie jak Firefox i SeaMonkey) są idealnym wektorem do wykonywania cichych połączeń z protokołem Steam Browser Protocol "- powiedzieli naukowcy. "Dodatkowo w przeglądarkach takich jak Internet Explorer i Opera nadal można ukryć podejrzaną część adresu URL przed wyświetleniem w komunikacie ostrzegawczym, dodając kilka spacji do samego adresu URL steam: //

Oprócz nakłaniania użytkowników do ręcznego kliknij rogue steam: // URL, atakujący mogą użyć kodu JavaScript załadowanego na złośliwe strony, aby przekierować przeglądarki na takie adresy URL, Luigi Auriemma powiedział we wtorek za pośrednictwem poczty elektronicznej

Przeglądarki wymagające potwierdzenia użytkownika dla pary: // Domyślnie uruchamianie adresu URL zwykle zapewnić użytkownikom opcję zmiany tego zachowania i automatycznego wykonywania adresów URL przez klienta Steam, powiedział Auriemma. "Jest wysoce prawdopodobne, że wielu graczy ma już linki steam: //, które są bezpośrednio uruchamiane w przeglądarce, aby uniknąć irytacji w ich potwierdzaniu przez cały czas."

Zrzut ekranu z proof-of-concept video stworzonego przez ReVulna pokazuje, w jaki sposób napastnicy mogą nadużywać sposobu, w jaki przeglądarki i inne aplikacje obsługują strumień: // adresy URL protokołów

Naukowcy wydali wideo, w którym pokazują, w jaki sposób steam: // URL-e można wykorzystać do zdalnego wykorzystania niektórych luk znalezionych w kliencie Steam. i popularne gry.

Na przykład, polecenie "retailinstall" protokołu Steam może być użyte do załadowania zniekształconego obrazu TGA, który wykorzystuje lukę w kliencie Steam w celu wykonania złośliwego kodu w kontekście jego procesu..

W innym przykładzie adres URL steam: // może być użyty do wykonania prawidłowych poleceń znalezionych w silniku gry Valve Source w celu napisania pliku.bat z treścią kontrolowaną przez atakującego w folderze Autostart systemu Windows. Pliki znajdujące się w katalogu startowym systemu Windows są automatycznie uruchamiane, gdy użytkownicy się logują.

Silnik gier Source jest używany w wielu popularnych grach, w tym Half-Life, Counter-Strike i Team Fortress, które mają dziesiątki milionów graczy.

Inny popularny silnik gry o nazwie Unreal obsługuje ładowanie plików ze zdalnych katalogów udostępnionych WebDAV lub SMB za pomocą parametrów wiersza poleceń. "Łamliwy steam: // URL" może być użyty do załadowania szkodliwego pliku z takiej lokalizacji, która wykorzystuje jedną z wielu luk przepełnienia liczb całkowitych znajdujących się w silniku gry w celu wykonania złośliwego kodu, powiedział naukowiec ReVuln.

Automatyczna aktualizacja funkcja znaleziona w niektórych grach, takich jak APB Reloaded lub MicroVolts, może być również wykorzystana przez steam: // URL-e do tworzenia plików z treścią kontrolowaną przez atakującego na dysku.

Aby się zabezpieczyć, użytkownicy mogą wyłączyć protokół Steam: // URL obsługuje ręcznie lub za pomocą specjalistycznej aplikacji lub może używać przeglądarki, która nie uruchamia automatycznie steam: // URL, powiedział Auriemma. "Minusem jest to, że gracze, którzy korzystają z tych łączy lokalnie (skróty) lub online (przeglądarka internetowa), aby dołączyć do serwerów lub korzystać z innych funkcji tego protokołu, nie będą mogli z nich korzystać."

Ponieważ Safari jest jedną z przeglądarek, które automatycznie wykonuje steam: // Adresy URL, użytkownicy Mac OS X, którzy reprezentują większość użytkowników przeglądarki, mogą być bardziej narażeni na takie ataki. "Mac OS to druga platforma używana na Steamie i wiele gier jest dostępnych dla tej platformy, więc ma szeroką bazę użytkowników", powiedział Auriemma.

"W naszej opinii Valve musi usunąć przekazywanie parametrów wiersza poleceń do gier, ponieważ jest to zbyt niebezpieczne i nie mogą kontrolować, jak te oprogramowanie stron trzecich może działać z nieprawidłowymi parametrami ", powiedział naukowiec.

Valve nie zwrócił natychmiast prośby o komentarz.

Wcześniej w tym miesiącu Valve zaczęło dystrybuować wybrane produkty -gamingowe tytuły oprogramowania przez Steam. Luki w zabezpieczeniach znalezione w takich aplikacjach mogą być również wykorzystywane przez parę: // URL, powiedział Auriemma.

"W ostatnich miesiącach Valve zainwestowało dużo w platformę Steam, uruchamiając wersję beta Steam dla Linuksa, dodając usługę GreenLight, w której użytkownicy mogą głosować, jakie gry chcieliby zobaczyć na Steamie, dodać sekcję Oprogramowanie, dodać więcej gier i kilka wyróżnionych gier dostępnych przez ograniczony czas, mnóstwo darmowych gier i wiele więcej ", powiedział naukowiec. "Nie było lepszego momentu, aby zauważyć te problemy niż teraz."