Кошмар безопасности PUBG — можно взломать даже главное меню

Геймплейно PlayerUnknown’s Battlegrounds безусловно удалась. Иначе 15 миллионов геймеров просто не купили ее. Однако игра находится в Раннем Доступе, а значит по уши набита проблемами. И похоже, что ни одна из проблем, не сравнится с тем, что стало известно сейчас. Потому что даже главное меню PUBG — это одна большая дверь для хакеров. Да-да, сегодня Филип Суфитчи опубликовал у себя в блоге материал, где рассказал о том, насколько серьезная брешь в безопасности присутствует уже в самом меню PUBG. 

Дело в том, что главное меню PUBG это... веб-страница, удаленно загружаемая через незащищенное HTTP-подключение, что делает его уязвимым для кросс-сайтового скриптинга (XSS) путем атаки посредника или другими способами воздействия на незащищенные HTTP-запросы. Это значит, что уже одно лишь главное меню самой популярной игры 2017 года (на данный момент), лишено какой-либо защиты и позволяет заниматься фишингом, наблюдением за поведение пользователя и другими возможными атаками.

Самое страшное, что данная брешь была обнаружена ШЕСТЬ МЕСЯЦЕВ НАЗАД.

Объяснение для тех, кто не столь близко знаком с темой:

Загрузочный экран PUBG и различные элементы пользовательского интерфейса в главном меню технически не являются частью установленной игры. Когда вы запускаете игру, эти элементы загружаются с официального сервера и отображаются поверх самой игры. Отображение осуществляется через прозрачный "браузер", однако по сути, все это обычная страничка в интернете. 

Проблема в том, что подключение, через которое эти элементы загружаются, не безопасное. Это значит, что любые данные, передаваемые с сервера PUBG на ваш компьютер могут быть перехвачены и модифицированы. То есть, если кто-то получит доступ к любой части соединения между вами и сервером PUBG, то они смогут изменить, что вы видите в главном меню игры. Или заставить меню делать то, что оно не должно делать. К примеру: сообщать хакеру, какие внутриигровые вещи у вас есть в игре.

Филип отмечает, что для того, чтобы хакер сумел воспользоваться этой уязвимостью, на вашей машине уже должен находиться вредоносный код взломщика (а это значит, что у вас проблемы куда серьезнее) или хакер должен быть "посредником" между вами и PUBG. В какой ситуации хакер может быть посредником между вами и PUBG:

• Если вы играете через незащищенное соединение. К примеру открытую точку Wi-Fi
• Если вы играете через проводное или Wi-Fi соединение, не зная, кто его активировал и насколько ему можно доверять — университетские сети и прочее
• Если вы играете через ЛЮБОЕ Wi-Fi подключение и на вашей машине нет патча, закрывающего дыру в безопасности Wi-Fi

В случае, если хакер может воспользоваться таким подключением — отмечу, что для опытного взломщика, это совершенно банальная задача, то он сможет изменить то, что вы видите на экране и будете думать, что это часть игры. 

Филип даже создал пример подобного взлома. После заставки игра может представить вам следующее изображение:

Выглядит как реальный экран, который просит подтвердить данные вашего аккаунта в Steam. В действительности это интерфейс, созданный хакером, позволяющий ему похитить вашу информацию. Но самое страшное, что это только начало. 

Что делать? 

Пока сама Bluehole не закроет эту "дыру" [иронично, что в названии студии hole — "дыра"], вы можете только минимизировать вероятность риска. Главный совет — играть только на домашней сети, использовать проводное подключение или роутер, если он находится достаточно далеко от потенциальных атак. 

Если вам интересны технические особенности потенциального хака — читайте оригинальную публикацию.