Геймплейно PlayerUnknown’s Battlegrounds безусловно удалась. Иначе 15 миллионов геймеров просто не купили ее. Однако игра находится в Раннем Доступе, а значит по уши набита проблемами. И похоже, что ни одна из проблем, не сравнится с тем, что стало известно сейчас. Потому что даже главное меню PUBG — это одна большая дверь для хакеров. Да-да, сегодня Филип Суфитчи опубликовал у себя в блоге материал, где рассказал о том, насколько серьезная брешь в безопасности присутствует уже в самом меню PUBG.
Дело в том, что главное меню PUBG это... веб-страница, удаленно загружаемая через незащищенное HTTP-подключение, что делает его уязвимым для кросс-сайтового скриптинга (XSS) путем атаки посредника или другими способами воздействия на незащищенные HTTP-запросы. Это значит, что уже одно лишь главное меню самой популярной игры 2017 года (на данный момент), лишено какой-либо защиты и позволяет заниматься фишингом, наблюдением за поведение пользователя и другими возможными атаками.
Самое страшное, что данная брешь была обнаружена ШЕСТЬ МЕСЯЦЕВ НАЗАД.
Объяснение для тех, кто не столь близко знаком с темой:
Загрузочный экран PUBG и различные элементы пользовательского интерфейса в главном меню технически не являются частью установленной игры. Когда вы запускаете игру, эти элементы загружаются с официального сервера и отображаются поверх самой игры. Отображение осуществляется через прозрачный "браузер", однако по сути, все это обычная страничка в интернете.
Проблема в том, что подключение, через которое эти элементы загружаются, не безопасное. Это значит, что любые данные, передаваемые с сервера PUBG на ваш компьютер могут быть перехвачены и модифицированы. То есть, если кто-то получит доступ к любой части соединения между вами и сервером PUBG, то они смогут изменить, что вы видите в главном меню игры. Или заставить меню делать то, что оно не должно делать. К примеру: сообщать хакеру, какие внутриигровые вещи у вас есть в игре.
Филип отмечает, что для того, чтобы хакер сумел воспользоваться этой уязвимостью, на вашей машине уже должен находиться вредоносный код взломщика (а это значит, что у вас проблемы куда серьезнее) или хакер должен быть "посредником" между вами и PUBG. В какой ситуации хакер может быть посредником между вами и PUBG:
- Если вы играете через незащищенное соединение. К примеру открытую точку Wi-Fi
- Если вы играете через проводное или Wi-Fi соединение, не зная, кто его активировал и насколько ему можно доверять — университетские сети и прочее
- Если вы играете через ЛЮБОЕ Wi-Fi подключение и на вашей машине нет патча, закрывающего дыру в безопасности Wi-Fi
В случае, если хакер может воспользоваться таким подключением — отмечу, что для опытного взломщика, это совершенно банальная задача, то он сможет изменить то, что вы видите на экране и будете думать, что это часть игры.
Филип даже создал пример подобного взлома. После заставки игра может представить вам следующее изображение:
Выглядит как реальный экран, который просит подтвердить данные вашего аккаунта в Steam. В действительности это интерфейс, созданный хакером, позволяющий ему похитить вашу информацию. Но самое страшное, что это только начало.
Что делать?
Пока сама Bluehole не закроет эту "дыру" [иронично, что в названии студии hole — "дыра"], вы можете только минимизировать вероятность риска. Главный совет — играть только на домашней сети, использовать проводное подключение или роутер, если он находится достаточно далеко от потенциальных атак.
Если вам интересны технические особенности потенциального хака — читайте оригинальную публикацию.
Источник
|
