Платформа Valve Steam открывает вектор атаки на компьютеры, где установлено это программное обеспечение. Специалисты по информационной безопасности из компании ReVuln проанализировали протокол, с помощью которого серверы Steam исполняют код в браузерах пользователей и обнаружили в нём некоторые уязвимости, которые позволяющие злоумышленникам установить вредоносное ПО.
Платформа Steam используется для распространения игр, а также работает как центральный хаб в фирменной системе DRM. В процессе инсталляции она регистрирует протокол steam:// для коммуникаций с игровыми серверами через браузер и запуска игр, например, с помощью такой команды:
steam://run/id/language/url_encoded_parameters
Этот механизм могут использовать злоумышленники. Например, игровой движок Source позволяет в параметрах командной строки url_encoded_parameters указывать произвольный лог-файл на диске и добавлять туда произвольные строки. Злоумышленник может указать файл autoexec.bat (под Windows) и добавить туда команду, которая будет автоматически исполнена при загрузке системы. Движок Source используется популярными играми вроде Half-Life 2 и Team Fortress 2, которые распространяются через платформу Steam.
Вектор атаки существует и в движке Unreal, который тоже позволяет исполнять произвольный вредоносный код с помощью протокола steam://.
Браузеры Internet Explorer Chrome и Firefox выводят предупреждение, когда пользователь пытается загрузить URL вида steam://, а браузер Safari исполняет команду без предупреждения.
В опубликованном отчёте “Steam Browser Protocol Insecurity” (pdf) исследователи обсуждают способы, как лучше обойти это предупреждение или хотя бы замаскировать вредоносную часть URL.
Таким образом, делают вывод исследователи из ReVuln, платформа Steam представляет серьёзную опасность для компьютеров Windows, а ещё бóльшую — для компьютеров Mac, где браузер Safari без предупреждения исполняет команды Steam URL. Насчёт версии Steam под Linux исследователи пока ничего не могут сказать, разработка этой платформы ещё не закончена. Говорят, что окончательная версия под Linux выйдет в течение ближайших недель.
Кстати, основной бизнес компании ReVuln — продажа эксплойтов корпоративным и государственным заказчикам.
