Valve אוסר על משחק חינמי מפלטפורמת Steam לאחר זיהוי וירוס שגנב סיסמאות משתמש
Valve הסירה כותר המוצע בחינם לשחקנים מקטלוג Steam. הצעד התרחש לאחר שמומחי אבטחה דיגיטלית זיהו שהתוכנה עבדה כווקטור להתקנת תוכנות זדוניות על מחשבי הקורבנות. המוקד העיקרי של האיום היה חילוץ שקט של אישורי גישה ומידע הקשור לנכסים פיננסיים.
המקרה מדגיש טקטיקה נפוצה יותר ויותר בסביבת הסייבר, שבה פושעים משתמשים במרחבים בתפוצה גבוהה כדי להפיץ קודים מזיקים. פלטפורמת הפצת המשחקים פעלה כדי להכיל את התפשטות הנגיף על ידי חסימת הגישה לדף המוצר. צרכנים שהורידו את הקובץ מסתכנים בחשיפה של נתונים רגישים לצדדים שלישיים.
שינוי זהות כדי למשוך קורבנות ב-Steam
האפליקציה שנפרצה פעלה בתחילה תחת השם מכרסמים מרוץ. בתמרון להגדיל את מספר ההורדות, התוקפים השתלטו על דף המפתח ושינו לחלוטין את המצגת החזותית והצעת המוצר. הגרסה החדשה נקראה Beyond The Dark, מאמצת מכניקת חקירה אפלה ואפלה.
לשינוי המראה הזה הייתה מטרה ברורה למשוך קהלים שאוהדים של אימה שיתופית. הפושעים העתיקו אלמנטים ויזואליים מפסמופוביה, הצלחה מבוססת בז’אנר, כדי לתת לגיטימציה להונאה. ההבטחה לחוויה סוחפת וללא עלות שימשה כפיתיון המושלם עבור אלפי משתמשים שגולשים מדי יום במדורי ההשקה החינמיים של החנות.
בזמן ששחקנים ניסו להתחיל לחקור סצנות רדופות, המערכת פעלה לא יציבה. התקלות והקריסות הקבועות בממשק הגרפי היו למעשה סימפטום לפעילות האמיתית של התוכנה. חזית הבידור הסתירה פעולה מורכבת של פלישה לפרטיות ואיסוף נתונים המוני. הטקטיקה של שיבוט הצלחות מסחריות אינה חדשה, אך היא מקבלת היבטים מסוכנים כאשר היא קשורה להפצה של סוסים טרויאנים. סביבת משחקי המחשב, המאופיינת בעדכונים מתמשכים והורדות של שינויים, יוצרת תרחיש חיובי לקבצים זדוניים שלא יבחינו בהם על ידי משתמשים פחות מנוסים.
גילוי הסכימה והתפקוד של UnityPlayer.dll
ההונאה נחשפה בהשתתפות פעילה של קהילת יוצרי התוכן. היוטיובר אריק פרקר ערך ניתוח טכני של התנהגות האפליקציה ופרסם סרטון המפרט את מבנה ההונאה. החקירה העצמאית הדגימה כיצד הקוד הזדוני הופעל מיד לאחר שהמשתמש ביצע את הקובץ הראשי.
הרכיב האחראי למתקפה זוהה על ידי מומחים בתור UnityPlayer.dll. זהו קובץ ספריית קישורים דינמי, שבהקשר ספציפי זה פעל כסוס טרויאני. גם כאשר Beyond The Dark הציג שגיאות קריטיות ונסגר בפתאומיות על מסך הצג, התהליך הזדוני המשיך לרוץ באופן בלתי נראה במנהל המשימות של מערכת ההפעלה.
התמדה ברקע זו העניקה לתוקפים את הזמן הדרוש לחיפוש בכונן הקשיח של הקורבן. הטכניקה מפגינה רמה ניכרת של תחכום, שכן היא עוקפת את התפיסה המיידית של המשתמש הנפוץ. ללא התראות על שגיאות מערכת או האטות קיצוניות לכאורה, חילוץ מנות הנתונים התרחש באופן רציף ושקט דרך חיבור האינטרנט. הארכיטקטורה של מערכות הפעלה מודרניות מאפשרת לתהליכי רקע לצרוך מעט משאבי עיבוד. המשמעות היא שהמכונה אינה חווה ירידה פתאומית בביצועים, שבדרך כלל תשמש תמרור אזהרה לבעל המחשב. אי-נראות היא הנשק העיקרי בסוג זה של פלישה המתמקד בריגול תעשייתי ופיננסי.
התמקד בארנקים דיגיטליים ובאישורים שמורים
היקף הפעולה של הנגיף התמקד מאוד ברווח כספי ישיר. התכנות UnityPlayer.dll כלל שגרות ספציפיות לסריקת ספריות מקומיות עבור מסדי נתונים של דפדפן אינטרנט. יעד העדיפות היה סיסמאות המאוחסנות אוטומטית בפלטפורמות כגון Google Chrome, תכונה בשימוש נרחב כדי להקל על הכניסה היומית.
בנוסף למדיה החברתית הקונבנציונלית ולתעודות דוא”ל, הקוד הזדוני חיפש באופן פעיל אחר הרחבות לניהול מטבעות קריפטוגרפיים. ארנקים דיגיטליים משולבי דפדפן מייצגים יעד בעל ערך גבוה עבור פושעי סייבר שכן העברה של נכסים מבוססי בלוקצ’יין מתרחשת לעיתים קרובות באופן בלתי הפיך ואנונימי. לכידת מפתחות גישה מאפשרת לרוקן מיד את כספי הקורבן.
דיווחים מחברי הקהילה הצביעו על כך שתוכנת הגנה בסיסית יכלה לחסום את הקובץ הנגוע מביצוע. עם זאת, אמון בתשתית של Valve גרם לרבים להתעלם מהתראות אבטחה או להשאיר את האנטי וירוסים מושבתים במהלך הפעלות משחקים. תחושת הביטחון הכוזבת הזו בסביבות רשמיות היא אחד הגורמים העיקריים המאפשרים הצלחת התקפות בקנה מידה גדול. גם הדינמיקה של חיוביות כוזבות במשחקי מחשב תורמת לבעיה. גיימרים רבים מתרגלים להתעלם מאזהרות מערכת ההפעלה בעת התקנת תוכנת בידור חדשה, מתוך אמונה שמדובר בשגיאת תאימות סטנדרטית. מפתחי התוכנות הזדוניות סמכו בדיוק על הטעות האנושית הזו כדי להבטיח התקנה מוצלחת של חבילת חילוץ הנתונים.
פרוטוקולי היגיינה ותגובה ארגונית
הודעה על פרצת האבטחה יצרה תגובה מיידית מהנהלת החנות המקוונת. Valve הסירה את Beyond The Dark מהשרתים שלה, מנעה התקנות חדשות ושבירה את שרשרת ההפצה של התוכנה הזדונית. החברה גם יזמה תהליך סקירה פנימי כדי להבין כיצד מוצר בעל התנהגות חריגה הצליח לעקוף את מסנני האישור האוטומטיים של הפלטפורמה.
מומחי אבטחת מידע ממליצים על פרוטוקול בלימה קפדני לכל מי שנמצא שהריץ את האפליקציה החשודה. הסרת ההתקנה של המשחק דרך הממשק הסטנדרטי אינה מבטיחה הסרה מלאה של קבצים מזיקים המוסתרים בתיקיות המערכת. הכרחי לנקוט באמצעים יזומים כדי לבודד את המכונה ולנטרל דלתות אחוריות פוטנציאליות שהשאירו תוקפים.
הפחתת נזקים דורשת גישה רב-שכבתית, המשלבת כלי תוכנה ושינויי התנהגות דיגיטלית. הנחיות ההגנה כוללות:
- בצע סריקת כונן קשיח עמוק ומלא באמצעות אנטי וירוס המעודכן בהגדרות האיומים העדכניות ביותר.
- שנה מיד את כל הסיסמאות השמורות בדפדפנים, תוך עדיפות לחשבונות בנק, מיילים ראשיים ופרופילים בחנויות מקוונות.
- שלל הרשאות גישה והעבר כספים מארנקי מטבעות קריפטוגרפיים שאולי נחשפו במהלך תקופת ההדבקה.
- אפשר אימות דו-גורמי בכל השירותים הנתמכים, הוספת מחסום נוסף מפני ניסיונות כניסה לא מורשים.
- עקוב אחר דפי בנק ודפי כרטיסי אשראי בשבועות הבאים לאיתור עסקאות חשודות או לא ידועות.
הפרק מחזק את הצורך בספקנות מתמדת בעת צריכת מדיה דיגיטלית. הצעת מוצרים ללא עלות כספית ישירה מסתירה לעתים קרובות מודלים של מונטיזציה המבוססים על ניצול נתונים. שמירה על מערכות הפעלה מעודכנות ואימוץ תנוחות הגנתיות בעת הגלישה ממשיכות להיות ההגנות היעילות ביותר נגד איומי סייבר המתפתחים כל הזמן. שוק הפצת התוכנה מתמודד עם האתגר המתמשך של איזון בין קלות הפרסום עבור מפתחים עצמאיים לבין אבטחה קפדנית עבור הצרכן הסופי. תקריות מסוג זה מאלצות את ענקיות הטכנולוגיה לשפר את האלגוריתמים שלהן לזיהוי חריגות. האחריות המשותפת בין הפלטפורמה, שחייבת לספק סביבה נקייה, לבין המשתמש, שחייב לשמור על נוהלי היגיינה דיגיטליים טובים, מגדירה את הנוף הנוכחי של אבטחת האינטרנט.
