Fornite je imao sigurnosni propust koji su hakeri iskoristili

Pažnja svim epskim igračima Fortnite: vaši računi su bili u velikoj opasnosti.

Istraživači bezbednosti iz Check Point-a pronašli su ranjivosti na Veb lokaciji Epic Games, što je omogućilo potencijalnim hakerima da se uloguju u Fortnite račune ljudi bez potrebe za lozinkom. Kada su imali pristup kompromitovanim računima, istraživači su otkrili da možete slušati razgovore prijatelja i koristiti informacije o kreditnoj kartici žrtava da biste kupili stavke u igri.

Istraživači su otkrili ranjivosti u novembru, a utvrđeni su do januara.

“Upoznali smo se sa ranjivostima i ubrzo su im se obratili. Zahvaljujemo se Check Point-u što nam je skrenuo pažnju. Kao i uvek, ohrabrujemo igrače da zaštite svoje račune tako što neće ponovo da koriste lozinke i koriste jake lozinke i ne dele informacije o računu drugi “, rekao je portparol epskih igara.

Fortnite je imao revolucionarnu godinu 2018, sa skoro 80 ​​miliona igrača. Njegova matična kompanija, Epic Games, procijenjena je na dobit od 3 milijarde dolara prošle godine i procjenjena na više od 15 milijardi dolara za besplatnu igru. Sa masovnom popularnošću igre dolazi zabrinutost za sigurnost.

U avgustu, Epic Games je popravio sigurnosni propust sa svojim instalatorom za Android uređaje, nakon što su istraživači sa Google-a otkrili ranjivost koja je mogla prevariti žrtve na instaliranje lažne verzije igre. Pošto je igra toliko popularna, sigurnosni istraživači su otkrili da je Fortnite glavna meta zlonamjernog softvera, s pojavom lažnih aplikacija koje se pojavljuju online.

“Počeli smo da čujemo da je bilo mnogo zloupotreba u Fortniteovoj mreži”, rekao je Oded Vanunu, direktor istraživanja Point Pointa o ranjivosti proizvoda. “Ovo je više od igre – ovo je ogromna infrastruktura koja opslužuje 80 miliona igrača, koji su uglavnom djeca.”

Epic Games je pokušao da odgovori na bezbednosne probleme tako što je podstakao svoje igrače da omoguće autentifikaciju u dva faktora kroz poklone.

Uprkos Fortniteovim sigurnosnim mjerama u protekloj godini, bila je to stranica Epskih igara iz 2004. godine koja je stvorila mali otvor za hakere da preuzmu račune ljudi.

Istraživači kompanije Check Point pronašli su neosigurani URL od pre više od jedne decenije, na stranici ut2004stats.epicgames.com – stranicu rekorda za Unreal Tournament, strelac u prvom licu koji je Epic Games prvi put razvio 1998. godine.

Stranica, koja je nakon toga bila deaktivirana, bila je otvorena za skripte na različitim lokacijama – kada je neko ubacio zlonamerni kod u veb lokaciju. Istraživači su napisali kod i ubacili ga na veb stranicu da bi preusmerili tokene za pristup serverima Check Point-a umesto Epic Game-a.

Razmislite o pristupnim tokenima kao o autentifikaciji izvan lozinki – oni su kodovi generisani platformama da bi vas držali prijavljene tako da ne morate da se prijavljujete svaki put kada posetite stranicu. Kada su hakeri ukrali lične informacije o 29 miliona ljudi na Facebooku, koristili su tokene za pristup. Fortniteova ranjivost koristi mnoge različite načine na koje se možete prijaviti na svoj račun Epic Games, koristeći tokene za pristup sa Facebook, Google i Ksbok naloga.

Napadač će morati da pošalje phishing vezu na platformi koju žrtva prijavljuje u Fortnite – tako da ako ste svoj račun Epic Games povezali sa Facebook-om, hack bi morao da prođe kroz društvenu mrežu, rekao je Eran Vaknin, istraživač sigurnosti u Check Pointu.

Kada kliknete na vezu, podaci se izvlače, čak i ako žrtva ne upiše ništa.

“Napad se odvija automatski bez ikakvog uplitanja korisnika”, rekao je Vaknin.

Pošto je kompromitovana stranica imala URL za epske igre, izgledalo bi manje sumnjivo za žrtve, rekao je Vanunu. Sličan je ranjivosti koje su istraživači kompanije Check Point otkrili sa računima za DJI-jeve trutove prošlog marta, koje je kompanija fiksirala u septembru.

U toj ranjivosti, Vanunu je takođe bio u mogućnosti da ubaci zlonamerni kod na DJI-jevoj sopstvenoj stranici domena da bi ukrao pristupne tokene.

“Čak i ako imate sigurnosni proizvod koji traži anti-phishing, ne bi ga uhvatio jer dolazi iz legitimnog domena”, rekao je istraživač sigurnosti.

Upozorio je da će ljudi, kada postanu sve više svjesni phishing napada i opreznijih u pisanju lozinki na sumnjivim stranicama, umjesto toga ciljati pristupne tokene. Vanunu je ohrabrio omogućavanje autentifikacije u dva faktora kako bi se zaštitili vaši računi – koje je Epic Games uložio u napore da promoviše.

“Otmica žetona je nešto što se dešava na svim većim platformama”, rekao je Vanunu. “Počinjemo da vidimo zlonamerne napadače koji traže tokene više.”