Το ελάττωμα επιτρέπει επίθεση στους παίκτες Origin, σύμφωνα με τους ερευνητές της ασφάλειας

Οι χρήστες της προέλευσης, η πλατφόρμα διανομής παιχνιδιών της Electronic Arts (EA), είναι ευάλωτοι σε απομακρυσμένες επιθέσεις εκτέλεσης κώδικα μέσω προέλευσης: // URLs, σύμφωνα με δύο ερευνητές ασφαλείας

Οι Luigi Auriemma και Donato Ferrante, ιδρυτές της εταιρίας συμβούλων ασφαλείας της Revuln που εδρεύει στη Μάλτα, αποκάλυψαν την ασφάλεια την περασμένη εβδομάδα κατά τη διάρκεια μιας ομιλίας στο συνέδριο Black Hat Europe 2013 στο Άμστερνταμ.

Η ευπάθεια επιτρέπει στους επιτιθέμενους να εκτελούν αυθαίρετους κώδικες στους χρήστες Origin «οι υπολογιστές, παρασύροντάς τους σε μια κακόβουλη ιστοσελίδα ή κάνοντας κλικ σε έναν ειδικά σχεδιασμένο σύνδεσμο», ανέφεραν οι ερευνητές. Στις περισσότερες περιπτώσεις η επίθεση θα είναι αυτόματη και δεν απαιτεί αλληλεπίδραση χρηστών,

.

[Περαιτέρω ανάγνωση: Τρόπος κατάργησης κακόβουλου λογισμικού από τον υπολογιστή σας Windows]

Η επιλογή γραμμής εντολών επιτρέπει την εισβολή

σε έναν υπολογιστή, καταγράφει τον εαυτό του ως τον χειριστή για την προέλευση: // συνδέσεις πρωτοκόλλου, οι οποίοι χρησιμοποιούνται για την εκκίνηση παιχνιδιών, συμπεριλαμβανομένων των επιλογών γραμμής εντολών, ή για την εκκίνηση άλλων ενεργειών μέσω του προγράμματος-πελάτη.

Ορισμένα παιχνίδια έχουν επιλογές γραμμής εντολών επιτρέψτε τη φόρτωση πρόσθετων αρχείων. Για παράδειγμα, οι ερευνητές επέδειξαν την επίθεση της αρχικής σύνδεσης με το νέο παιχνίδι "Crysis 3", το οποίο υποστηρίζει μια επιλογή εντολών που ονομάζεται openautomate.

Το Openautomate είναι ένα χαρακτηριστικό που επιτρέπει στους χρήστες να ελέγχουν την απόδοση της κάρτας γραφικών τους στο "Crysis 3" χρησιμοποιώντας το πλαίσιο αναφοράς του Nvidia. Η εντολή ακολουθείται από τη διαδρομή προς ένα αρχείο DLL (βιβλιοθήκη δυναμικής ζεύξης) το οποίο στη συνέχεια φορτώνεται από τη διαδικασία "Crysis 3".

Οι ερευνητές βρήκαν έναν τρόπο να δημιουργήσουν σχέσεις προέλευσης: // που δίνουν εντολή στον πελάτη Origin να ανοίξει " Crysis 3 "με την εντολή openautomate που ακολουθείται από μια διαδρομή προς ένα κακόβουλο αρχείο DLL που φιλοξενείται σε ένα δίκτυο ή ένα κοινόχρηστο στοιχείο WebDAV. Μια ξεχωριστή επιλογή εντολών μπορεί να συμπεριληφθεί στη διεύθυνση URL για να κάνει το "Crysis 3" ανοιχτό σιωπηλά στο παρασκήνιο, χωρίς οι χρήστες να βλέπουν παράθυρα.

Οι επιτιθέμενοι θα μπορούσαν να εξαπατήσουν τους χρήστες να επισκεφτούν έναν ιστότοπο που περιέχει ένα κομμάτι κώδικα JavaScript που αναγκάζει τους browsers τους ανοίξτε τον ειδικά σχεδιασμένο σύνδεσμο

Όταν ένας σύνδεσμος προέλευσης: // ανοίγει για πρώτη φορά σε ένα πρόγραμμα περιήγησης, οι χρήστες θα ερωτηθούν αν θέλουν να το ανοίξουν με τον Origin client, ο οποίος είναι ο καταχωρημένος χειριστής για αυτόν τον τύπο URL. Ορισμένα προγράμματα περιήγησης θα εμφανίζουν την πλήρη διαδρομή της διεύθυνσης URL ή μέρος αυτής, ενώ άλλα προγράμματα περιήγησης δεν θα εμφανίζουν καθόλου τη διεύθυνση URL.

Οι προτροπές επιβεβαίωσης που εμφανίζονται από τα προγράμματα περιήγησης παρέχουν στους χρήστες την επιλογή να ανοίγουν πάντα την προέλευση: / / links με τον πελάτη προέλευσης. Οι περισσότεροι παίκτες έχουν ήδη επιλέξει αυτή την επιλογή, ώστε να μην ενοχλούνται από τους διαλόγους επιβεβαίωσης κάθε φορά που κάνουν κλικ σε έναν σύνδεσμο προέλευσης, πράγμα που σημαίνει ότι για αυτούς η επίθεση θα είναι πλήρως διαφανής, λένε οι ερευνητές.

Η ευπάθεια είναι σχεδόν ίδια με αυτή που βρήκαν πέρυσι οι ίδιοι ερευνητές στην πλατφόρμα διανομής παιχνιδιών της Steve της Valve. Αυτό το ελάττωμα επέτρεψε την κατάχρηση ατμόσφαιρας: // με τον ίδιο τρόπο.

Η ευπάθεια του ατμού αναφέρθηκε τον Οκτώβριο του 2012, αλλά δεν έχει ακόμη καθοριστεί, ανέφεραν οι ερευνητές. Ο καθορισμός του θα απαιτούσε πιθανώς σημαντικές αλλαγές στην πλατφόρμα, επειδή προέκυπτε από ένα ελάττωμα στο σχεδιασμό, είπαν. Οι ερευνητές δεν αναμένουν από την EA να διορθώσει το ζήτημα της αρχικής σύνδεσης οποιαδήποτε στιγμή σύντομα.

Η επίθεση δεν περιορίζεται στο "Crysis 3." Λειτουργεί επίσης και για άλλα παιχνίδια που έχουν παρόμοια χαρακτηριστικά γραμμής εντολών ή κάποια τοπικά σημεία ευπάθειας, ανέφεραν οι ερευνητές. Το ελάττωμα παρέχει ουσιαστικά έναν τρόπο απομακρυσμένης κατάχρησης χαρακτηριστικών ή ζητημάτων ασφαλείας που διαφορετικά θα ήταν εκτεθειμένα μόνο σε τοπικές επιθέσεις, δήλωσαν.

Οι Auriemma και Ferrante δεν αποκαλύπτουν ποτέ τις ευπάθειες που εντοπίζουν στους πωλητές λογισμικού που επηρεάζονται, έτσι δεν ειδοποίησαν την EA για το ελάττωμα πριν το παρουσιάσετε στο Black Hat.

Οι ερευνητές δημοσίευσαν μια λευκή βίβλο στον ιστότοπό τους, η οποία εξηγεί λεπτομερέστερα το ζήτημα και προτείνει έναν τρόπο μείωσης των επιθέσεων. Ο μετριασμός συνεπάγεται τη χρήση ενός εξειδικευμένου εργαλείου που ονομάζεται urlprotocolview για να απενεργοποιήσετε την προέλευση: // URL.

Η παρενέργεια του να γίνει αυτό θα είναι ότι η εκκίνηση παιχνιδιών χρησιμοποιώντας τις συντομεύσεις επιφάνειας εργασίας ή τα εκτελέσιμα αρχεία τους δεν θα λειτουργούν πλέον. Ωστόσο, οι χρήστες θα εξακολουθήσουν να είναι σε θέση να εκκινήσουν τα παιχνίδια από το εσωτερικό του πελάτη Origin