Vulnerabilidades na plataforma de jogos Steam colocam em risco a segurança de mais de 25 milhões de usuários

Esta é a terceira grande investigação da Check Point no setor de games nos últimos dois anos. Em janeiro de 2019, os pesquisadores da empresa revelaram falhas de segurança presentes no Fortnite. Em junho do mesmo ano, eles divulgaram algumas descobertas sobre a gigante dos videogames EA Games. Agora é a vez da Steam, a plataforma que hospeda alguns dos mais populares videogames, como o Counter Strike: Global Offensive, Dota2 e Half Life.

As vulnerabilidades foram descobertas na biblioteca de rede da Steam, também conhecida por Steam Sockets. A biblioteca é oferecida como parte integrante de um kit de ferramentas para programadores de jogos de plataformas de terceiros. Se não fossem corrigidas, essas vulnerabilidades permitiriam que um atacante derrubasse o jogo do seu oponente, podendo ainda, em alguns acasos, assumir o controle do computador desse jogador. Por exemplo, um jogador de Counter Strike: Global Offensive prestes a perder um jogo poderia simplesmente paralisá-lo à vontade, sem ser necessária qualquer interação do seu adversário.

Controle total de computadores conectados a jogos de terceiros

Em jogos de terceiros que incorporavam a Steam Sockets, os pesquisadores da Check Point descobriram uma vulnerabilidade que poderia ser utilizada para controlar totalmente os servidores de jogo. A mesma vulnerabilidade poderia ainda servir de meio para a apropriação de todos os computadores conectados ao servidor do jogo em questão.

Como se processa o ataque

1. Um usuário mal-intencionado conecta-se a um servidor de jogo.
2. Depois, ele desencadeia o ataque enviando vários pacotes maliciosos ao jogador oponente ou para o próprio servidor, sem que seja necessária qualquer interação da parte das vítimas.
3. A partir daí, o atacante pode implementar a mesma vulnerabilidade sem qualquer trava, já que tanto os usuários como os próprios servidores de jogo se encontram vulneráveis.

No total, os pesquisadores da Check Point descobriram quatro vulnerabilidades na biblioteca Steam Sockets (de CVE-2020-6016 a CVE-2020-6019. Em setembro de 2020, as descobertas foram compartilhadas com a Valve que, após três semanas, lançou para os diferentes jogos as devidas correções (patches). Para integrá-las, os usuários da Steam foram obrigados a instalar as atualizações necessárias. Posteriormente, segundo a Valve, os desenvolvedores de jogos de plataformas de terceiros foram informados.

“Com a alta da popularidade e o uso massivo de videogames durante a pandemia, o setor de gaming deve passar por uma apuração minuciosa, uma vez que o risco é real e o impacto pode ser muito sério”, afirma Eyal Itkin, pesquisador de segurança da Check Point. “Por meio das vulnerabilidades que encontramos, um atacante poderia apropriar-se de milhares de computadores todos os dias, sem as vítimas saberem. Outros cenários de ataque incluem a sabotagem de jogos online, em que o atacante poderia, por exemplo, derrubar o servidor a qualquer momento, forçando o jogo a parar para todos os jogadores ao mesmo tempo. Os gamers devem prestar especial atenção aos jogos que baixaram antes de setembro deste ano”, finaliza Itkin.

Os dez jogos mais populares da Steam:

1. Counter-Strike: Global Offensive
2. Dota 2
3. Destiny 2
4. PLAYERUNKNOWN'S BATTLEGROUNDS 74,560
5. Among Us
6. Team Fortress
7. Rocket League
8. Tom Clancy's Rainbow Six Siege
9. Apex Legends
10. Grand Theft Auto V

Como se proteger

Existem dois tipos de usuários afetados: aqueles de jogos da Valve e os usuários de jogos de plataformas de terceiros. Um jogador Valve que jogue a partir da plataforma Steam já está protegido pela correção que foi lançada, tendo apenas de verificar se não tem qualquer atualização ainda a ser realizada. Por outro lado, os jogadores de plataformas de terceiros devem verificar se receberam alguma atualização nos últimos meses. Caso contrário, é recomendado que façam contato com os desenvolvedores do jogo em questão para serem esclarecidos em relação à data de lançamento da correção.