ماجرای بخار مدتی است که شناخته شده است – در آغاز سال
سال ، یک هکر کلاه سفید ، واسیلی کراوتز کشف کرد که بازی اصلی است
پلت فرم با میلیون ها کاربر از امنیت شدید رنج می برد
آسیب پذیری Kravets کشف کرد
این که مجرمان سایبری می توانند از Steam برای سوء استفاده از کد بخور استفاده کنند
حقوق اداری در دستگاههای ویندوز. همانطور که وی گفت – آسیب پذیری بود
آسان برای یافتن و بهره برداری حتی ساده تر.
ذکر شده است که Kravets این آسیب پذیری را هنگام بازی با وی پیدا کرده است
سرویس Steam Client ، که جزئی از نسخه ویندوز Steam است.
کلیدهایی که Steam در آن ثبت شده است به توصیف کنندگان اجازه می دهد تا آن کلیدها را کنترل کنند
حقوق اداری دارند یا خیر. یک مجری می تواند حمله کند
پرونده های دلخواه و بدون حقوق اداری. علاوه بر این ، آن را تحریک نمی کند
کنترل حساب کاربری (UAC) که اعلانی است که به شما امکان می دهد انتخاب کنید یا خیر
برنامه ها مجاز به ایجاد تغییر در رایانه شما نخواهند بود – این برنامه به سادگی به صورت A اجرا می شود
سیستم محلی
به
این را بیان کنید که همه بتوانند درک کنند – آسیب پذیری به غیر مدیر می دهد
فرصت اجرای پرونده ها با امتیازات اداری. یعنی بدترین
سناریوی ممکن – آنها می توانند انواع نرم افزارهای مخرب ، از جمله نصب کنند
باج افزار ، تروجان های بانکی یا دزدی های رمز عبور. حتی اگر کاربر آن را داشته باشد
آخرین ویندوز 10 با نصب تمام بروزرسانی های امنیتی ، به وی حمله می شود.
می توان در نظر داشت که از آنجا که ویندوز برای اکثر سیستم انتخاب است
گیمرها ، بیش از 90 میلیون دلار کاربر فعال ماهانه تحت تأثیر قرار می گیرند.
Kravets
بسیار درست عمل کرد – پس از کشف ، او از فضل اشکال Steam استفاده کرد
برنامه ای برای امتحان کردن و افشای آسیب پذیری و کمک به رفع آن.
اما ، از آنجا که توسعه دهنده محبوب ترین بازی جهان پردازش نشده است
علاوه بر این ، این اشکال هنوز در ویندوز رسمی Steam ثابت نشده است
مشتری. حتی اگر محقق امنیتی از آسیب پذیری در این زمینه خبر داد
شرکت مادر Valve Corporation ، Valve آسیب پذیری را به عنوان علامت گذاری نکرد
"خطرناک".
آسیب پذیری به عنوان یک حمله بسته به توانایی قرار گرفتن در معرض حمله قرار گرفت
پرونده ها در مکان های دلخواه در سیستم پرونده کاربر ، بنابراین فراتر از اینها است
دامنه برنامه گزارش آسیب پذیری. "
Kravets
گفت: "این نشانه کمترین علاقه ای است که شرکت های بزرگ فناوری دارند
برای امنیت کاربرانشان آنها به رفع نقص آنها اهمیت نمی دهند.
شرکت ها تا زمانی که مجبور به انجام این کار نشوند ، کاری نمی کنند. "
با این حال ،
این اولین بار نیست که شرکت Valve با این مسئله مشکل دارد.
با تشکر از یک هکر خیرخواه که با نام زمنتز معروف است ،
یک اشکال دیگر کشف شد هکر برای کشف خود پاداش گرفت ، و
این اشکال در وب سایت ارسال شده است تا همه بتوانند در مورد آن بدانند و بدانند.
سناریوی بدترین حالت این بود که هکر می توانست پیوند مخرب را در آن قرار دهد
یک گروه بازی عمومی که بسیاری از افراد به راحتی می توانند بر روی آن کلیک کنند. کنترل بیش از حد
می توان از رایانه شخصی آنها گرفته شد و اطلاعات شخصی به سرقت رفت و حتی اعتبار
شماره کارت در یکی از بدترین سناریوها ، آنها می توانستند این کار را انجام دهند
کامپیوتر غیر قابل استفاده با باج افزار.
The
به اصطلاح اشکال در ویژگی Steam Chat قرار دارد. در این حمله نقص هایی در Steam ایجاد شده است
محافظت از مشتری گپ در اطراف این محتوا برای دسترسی عادی محدود
عملکرد و باز کردن پرونده ها در رایانه های کاربر.
با این حال ،
Valve برای ترغیب هکرها به افشای اقدامات مثبت اقدام کرده است
آسیب پذیری ها ، اما Steam یک هدف اصلی برای مجرمان سایبری است. وجود دارد
هنوز تعداد زیادی از کاربران در Steam هستند که درآمد خود را به سرقت می برند حساب های دیگران
و نقدینگی دارایی های مرتبط با حساب ها.
گیمرها
هیچ خطر دیگری برای حضور در صندلی های مهاجم از دیگر افراد وجود ندارد
گروه همانطور که یکی از هکرها خاطرنشان کرد: هر نرم افزاری با آسیب پذیری جالب است
برای مهاجمین سیستم عامل های بازی با یک پایگاه کاربری بزرگ هیچ تفاوتی ندارند و
ممکن است مورد حمله مهاجمان قرار گیرد. "
چه موقع
در حال کاهش است ، باید دانست که نکته مهمی که باید به خاطر بسپاریم
برای شروع ، یک مهاجم نیاز به دسترسی به رایانه شخصی دارد. توصیه این است
ساده ترین اتفاق یک اتفاق نرم افزار ترک خورده را نصب نکنید ،
در صورت امکان از کلمه عبورهای مشابه برای چندین سایت و سرویس استفاده نکنید –
هر جا امکان پذیر است از احراز هویت دو عاملی استفاده کنید ، سیستم عامل را اعمال کنید
تکه ها را کلیک کنید و روی پیوندها در ایمیل های ناخواسته کلیک نکنید.
از آن زمان
بسیاری از گیمرها معمولاً کنترل حساب کاربری (UAE) را غیرفعال می کنند ، زیرا آنها
می خواهید در حالت سرپرست اجرا کنید – توصیه نمی شود. این عملکرد به کاهش کمک می کند
اگر یک کاربر عادی سعی کند رمزعبور بدافزار داشته باشد زیرا به یک رمزعبور مدیر سیستم نیاز دارد
برای انجام کاری که فقط یک مدیر باید بتواند انجام دهد.
The
با این حال بزرگترین خبر این است که Valve Steam Client Beta را بروزرسانی کرده است
با استفاده از پیوندهای نمادین در ویندوز ، بهره برداری از افزایش امتیاز را برطرف کرده است
ثبت. پروتکل HackerOne نیز در حال مرور و برخی از به روزرسانی ها است
[همانطورکهمیتوانبرایآننیزساختهشد
منبع:
SecurityNewspapper ، Forbes