Descubren vulnerabilidades en Steam que ponen en riesgo a millones de jugadores en todo el mundo
Los investigadores de la compañía alertan de que los seguidores de títulos como Counter Strike, Global Offensive, Dota2 y Half Life, entre otros títulos, corren el riesgo de que un ciberdelincuente tome el control de su equipo sin que lo sepan
Investigadores de Check Point Research, la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. alertan de que han identificado cuatro vulnerabilidades en Steam, la plataforma en línea del desarrollador de juegos Valve que cuenta con más de 25 millones de usuarios en el mundo y que alberga juegos como Counter Strike: Global Offensive, Dota2 y Half Life, entre otros. Esta plataforma incorpora miles de títulos, así como contenido descargables.
Las vulnerabilidades se han detectado en la biblioteca conocida como Steam Sockets, que se ofrece como parte de un conjunto de herramientas para desarrolladores de juegos de terceros. Estos fallos de seguridad, además, se encontraron tanto en los servidores de Steam como en el de sus clientes, ya que están instalados en los equipos de los jugadores. Los investigadores de Check Point Research indican que, en caso de no haberse parcheado, esta vulnerabilidad permitiría a un atacante bloquear un juego en remoto y, en algunos casos, incluso tomar el control del ordenador del jugador. Por otra parte, en los juegos de terceros que utilizan Steam Socket, la compañía pudo detectar un fallo de seguridad que permitiría tomar el control por completo de los servidores de un videojuego. Este mismo error también se podría haber utilizado para secuestrar los equipos de todos los jugadores conectadas a un mismo servidor. Este escenario, sin embargo, sólo se produce en aquellos títulos que usan Steam Socket, pero no en los juegos de Valve.
¿Cómo funciona esta vulnerabilidad?
Para explotar esta vulnerabilidad, el ciberdelincuente tan sólo tiene que conectarse al servidor del videojuego que desee atacar. Tras esto, puede actuar según su voluntad y desencadenar el ataque enviando cargas maliciosas al jugador o videojuego deseado, sin que para ello sea necesario ningún tipo de interacción. A partir de este punto, el atacante podría explotar esta vulnerabilidad en todos los usuarios de un título, ya que tanto los jugadores como el juego son vulnerables. De esta forma, podría incrementar su tasa de éxito y afectar a millones de usuarios en todo el mundo.
«Los videojuegos han alcanzado un máximo histórico durante la pandemia de coronavirus. Con millones de personas que juegan actualmente en línea, hasta el más mínimo fallo de seguridad puede convertirse en un gran problema para la privacidad de los usuarios y desarrolladores. Así lo demuestra nuestra investigación, que pone de manifiesto como un ciberdelincuente podría llegar a tomar el control de los ordenadores de cientos de miles de gamers sin que estos se hubieran dado cuenta”, señala Eyal Itkin, investigador de Check Point. “Este tipo de plataformas online son un objetivo muy cotizado para los ciberdelincuentes, ya que, debido a su popularidad y el gran número de usuarios que entran en estos servicios, una vulnerabilidad podría tener un efecto devastador. Por este motivo, es fundamental que los gamers extremen las precauciones”, añade Itkin.
De hecho, esta es una de las mayores vulnerabilidades que el equipo de Check Point Research ha encontrado en la industria del videojuego en los últimos años, puesto que en enero de 2019 advirtieron que habían detectado fallos de seguridad en Fortnite, mientras que en junio de ese mismo año alertaban de fallos de seguridad en EA Games.
¿Cómo protegerse?
En total, los investigadores de Check Point Research encontraron cuatro vulnerabilidades, enumeradas desde CVE-2020-6016 hasta CVE-2020-6019. La compañía compartió sus hallazgos con Valve en septiembre de este año, y 3 semanas después, los parches de seguridad se habían enviado a varios videojuegos, con lo que los usuarios tan sólo tienen que actualizar a la última versión antes de poder jugar. Asimismo, Valve confirmó a Check Point Research que había informado de sobre sus vulnerabilidades al resto de desarrolladores de videojuegos. Para los usuarios que accedan a los títulos por medios distintos a Valve, deberán comprobar si han recibido algún tipo de actualización en los últimos meses y, de no ser así, contactar con los desarrolladores del videojuego para comprobar cuando estará disponible el parche de seguridad.
cybersecuritynews - Alicia Burrueco