Mapa z warsztatu Steam zainfekowała inżyniera Meccha Chameleon, a to otworzyło drogę do przejęcia Discorda ze 100 tys. userów

Badacz bezpieczeństwa Feint znalazł złośliwy kod w mapach do Meccha Chameleon publikowanych na Steam Workshop. Mapa "Laser Tag Neon", a po niej "Chroma Grid Arena", zapisywały na dysku plik .bat. Ten za pomocą PowerShell pobierał i uruchamiał drugi, właściwy ładunek: trojana zdalnego dostępu i złodzieja kryptowalut. Deweloper Haganeiro załatał lukę w aktualizacji 3.1.0. Prawdziwe zamieszanie dopiero się zaczynało.

Realnym celem ataku był jeden zainfekowany komputer, który akurat miał uprawnienia administratora na Discordzie ze 100 tysiącami userów. Discord jako platforma padł tu przypadkową ofiarą.

Jak to się rozwinęło

Zespół Meccha Chameleon badał zgłoszenie Feinta, a przy okazji komputer jednego z inżynierów systemowych sam padł ofiarą tego samego mechanizmu. Atakujący, mając już dostęp do tej maszyny, znalazł na niej zalogowaną sesję Discorda z uprawnieniami administratora serwera. Obejście weryfikacji dwuetapowej było stąd już tylko formalnością. Sam Discord nie miał w tym żadnej luki po swojej stronie.

Co się działo na przejętym serwerze

Mając przejęte konto administratora, atakujący zbanował całą oficjalną kadrę i zaczął rozsyłać fałszywe komunikaty. Twierdził w nich, że najnowsza aktualizacja gry zawiera trojana zdalnego dostępu i że gracze muszą wykonać konkretne kroki, żeby się "naprawić". Była to kolejna próba infekcji, tym razem pod przykrywką oficjalnego kanału dewelopera.

Haganeiro zareagował publicznie, zanim jeszcze odzyskał kontrolę nad głównym serwerem: "Nawet gdyby haker próbował zmodyfikować grę, infrastruktura deweloperska Steam uniemożliwia komukolwiek opublikowanie aktualizacji gry samym przejęciem komputera." Sama gra przez cały czas pozostawała bezpieczna. Zespół uruchomił zapasowy serwer społecznościowy na czas odzyskiwania oryginalnego kanału, szacując proces na około 48 godzin.

Dlaczego to ważne szerzej niż dla graczy Meccha Chameleon

Ten łańcuch ataku dotyczy każdej gry z warsztatem community: modyfikacje i mapy tworzone przez graczy to pełnoprawny wektor infekcji. Valve nie skanuje automatycznie zawartości map pod kątem złośliwego kodu wykonywalnego uruchamianego poza silnikiem gry. Odpowiedzialność spoczywa więc na deweloperze konkretnego tytułu i na czujności graczy.

Drugi poziom problemu jest jeszcze bardziej uniwersalny. Zainfekowany pracownik z dostępem do administracji Discorda to gotowa recepta na masową dezinformację wśród userów, i nie wymaga to żadnej luki w samym Discordzie. Wystarczy jeden zainfekowany komputer należący do kogoś z odpowiednimi uprawnieniami. Ten sam mechanizm regularnie uderza w społeczności Discord innych gier i projektów, bez względu na to, jak dobrze zabezpieczona jest sama platforma.

Co zrobić, jeśli grałeś w te mapy

Zaktualizuj grę do wersji 3.2.0 natychmiast. Jeśli przed łatką uruchomiłeś którąkolwiek z podejrzanych map, zrób pełne skanowanie systemu i sprawdź folder Dokumenty oraz katalogi tymczasowe pod kątem niedawno utworzonych plików .bat. Jednym z ładunków był złodziej kryptowalut, więc warto też sprawdzić aktywność portfeli, jeśli trzymasz je na tym samym komputerze. Na razie unikaj oryginalnego serwera Discord gry do czasu potwierdzenia pełnego odzyskania kontroli. Nie klikaj tam linków i nie wykonuj żadnych "kroków naprawczych" publikowanych na kanałach o niepewnym statusie.

Werdykt SPAWNSY