Mods maliciosos del juego Dota 2 infectaron a los jugadores con malware

AXCESS · Febrero 09, 2023, 11:16:23 PM

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Investigadores de seguridad han descubierto cuatro mods de juego Dota 2 maliciosos que fueron utilizados por un actor de amenazas para hacer una puerta trasera en los sistemas de los jugadores.

El atacante desconocido creó cuatro mods de juego para el popular videojuego de campo de batalla en línea multijugador Dota 2 y los publicó en la tienda Steam para apuntar a los fanáticos del juego, según descubrieron los investigadores de Avast Threat Labs.

"Estos mod de juego se llamaron Overdog no héroes molestos (id. 2776998052), Custom Hero Brawl (id. 2780728794) y Overthrow RTZ Edition X10 XP (id. 2780559339)", dijo Jan Vojtěšek, investigador de malware de Avast.

El atacante también incluyó un nuevo archivo llamado evil.lua que se usó para probar las capacidades de ejecución de Lua del lado del servidor. Este fragmento malicioso podría usarse para iniciar sesión, ejecutar comandos arbitrarios del sistema, crear corrutinas y realizar solicitudes HTTP GET.

Si bien el actor de amenazas facilitó la detección de la puerta trasera incluida en el primer modo de juego publicado en Steam Store, las veinte líneas de código malicioso incluidas con los tres modos de juego más nuevos fueron mucho más difíciles de detectar.

La puerta trasera permitió al actor de amenazas ejecutar comandos de forma remota en los dispositivos infectados, lo que podría permitir la instalación de más malware en el dispositivo.

"Esta puerta trasera permite la ejecución de cualquier código JavaScript adquirido a través de HTTP, proporcionando al atacante el poder de ocultar y modificar el código de explotación a su discreción sin pasar por el proceso de verificación del modo de juego, que puede ser peligroso, y actualizando todo el modo de juego personalizado. ", dijo Vojtěšek.

Código de puerta trasera Lua ejecutado en servidores de juegos Dota 2 (Avast)
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

En los sistemas comprometidos de los jugadores, la puerta trasera también se usó para descargar un exploit de Chrome que se sabe que se abusa en la naturaleza.

La vulnerabilidad objetivo es CVE-2021-38003, una falla de seguridad de gravedad alta en el motor WebAssembly y JavaScript V8 de Google explotada en ataques como un día cero y parcheada en octubre de 2021.

"Dado que V8 no estaba aislado en Dota, el exploit por sí solo permitió la ejecución remota de código contra otros jugadores de Dota", agregó Vojtěšek.

El exploit de JavaScript para CVE-2021-38003 se inyectó en un archivo legítimo que agregó la funcionalidad de marcador al juego y probablemente lo haga más difícil de detectar.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Avast informó de sus hallazgos a Valve, el desarrollador de juegos MOBA de Dota 2, quien actualizó la versión vulnerable V8 el 12 de enero de 2023. Antes de esto, Dota 2 usaba una versión v8.dll compilada en diciembre de 2018.

Valve también eliminó las modificaciones maliciosas del juego y alertó a todos los jugadores afectados por el ataque.

"De una forma u otra, podemos decir que este ataque no fue de gran escala. Según Valve, menos de 200 jugadores se vieron afectados", agregó Vojtěšek.

En enero, el desarrollador del truco North GTA también explotó una vulnerabilidad de ejecución remota de código de Grand Theft Auto Online para incluir la funcionalidad de prohibir y corromper las cuentas de los jugadores en una versión lanzada el 20 de enero de 2023.

El desarrollador de trucos (cheat) eliminó las funciones en una nueva versión el 21 de enero y se disculpó por el caos causado por los usuarios del truco.

El desarrollador de GTA, Rockstar Games, lanzó una actualización de seguridad para solucionar el problema de Grand Theft Auto Online el 2 de febrero.

Fuente:
BleepingComputer
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Mods maliciosos del juego Dota 2 infectaron a los jugadores con malware

AXCESS

Febrero 09, 2023, 11:16:23 PM Ultima modificación: Febrero 11, 2023, 01:08:56 AM por AXCESS