Chemia, gra survivalowo-craftingowa stworzona przez studio Aether Forge Studios do niedawna dostępna jako early access na Steamie, została zainfekowana infostealerem. Według firmy zajmującej się analizą zagrożeń Prodaft, początkowy incydent miał miejsce 22 lipca, kiedy to grupa hackerska EncryptHub dodała do plików gry złośliwe oprogramowanie HijackLoader (plik CVKRUTNP.exe), które zapewnia przetrwanie infekcji…
Czytaj dalej »
Kilka dni temu zespół Silent Push poinformował o namierzeniu kampanii phishingowej targetującej graczy Counter-Strike 2 na Steam z wykorzystaniem techniki Browser-in-the-Browser (BitB). Technika BitB została stworzona w 2022 roku przez eksperta security mr. d0xa (na githubie wciąż udostępnia template ataku). Na czym polega? Na niektórych stronach mamy możliwość zalogowania za…
Czytaj dalej »
Miłośnicy e-sportu, a konkretnie Counter-Strike 2 na celowniku przestępców – donosi Bitdefender Labs. Obecnie, pod pretekstem transmisji ze znanych wydarzeń e-sportowych jak np. IEM Katowice 2025 czy PGL Cluj-Napoca 2025 dochodzi do oszustw na widzach. Przestępcy wykorzystują konta YouTube, nad którymi przejęli kontrolę, aby podszyć się pod znanych graczy, takich jak np….
Czytaj dalej »
Po długim dniu pracy chcesz się odprężyć i pyknąć w jakąś gierkę. Wchodzisz więc na Steama i wybierasz coś nowego, a tam… cały na biało malware. TL;DR: Chodzi o darmową grę PirateFi udostępnioną na Steam przez Seaworth Interactive w zeszłym tygodniu. Twórcy opisywali ją jako survivalową przygodę w świecie low-poly,…
Czytaj dalej »
Pewien użytkownik właśnie zaspamował serwer discordowy pewnej polskiej konferencji IT…na wszystkich kanałach mamy taką wiadomość: Co dalej? Dalej lądujemy na stronie gdzie jesteśmy proszeni o zalogowanie się na Steama (zapewne instalację stosownego oprogramowania): Chyba nikogo nie trzeba przekonywać że podanie loginu/hasła na tej stronie = przejęcie konta (oraz infekcja komputera…
Czytaj dalej »
Steam to jedna z największych i najpopularniejszych platform do dystrybucji cyfrowej gier komputerowych, stworzona przez Valve Corporation w 2003 roku. Jeśli jesteś graczem, to prawdopodobnie korzystasz z tego serwisu na co dzień… Oczywiście za gry w większości przypadków przyjdzie nam zapłacić, i to niemało, bo często nawet ~ 200 PLN:…
Czytaj dalej »
Ciekawa historia podatności w kliencie Steam. Można dzięki niej mając uprawnienia zwykłego użytkownika, eskalować je do administratora (dokładniej LOCALSYSTEM). Badacz zgłosił problem do Valve w ramach programu bug bounty, ale problem został odrzucony z adnotacją: „not applicable„, jednocześnie Valve nie chciało aby opublikować szczegóły problemu. Badacz się tym nie przejął…
Czytaj dalej »
Podatność opisana jest tutaj, wypłata $18 000. Buga załatano niedawno w kliencie Steam dla Windows, Linux, OS X (choć ta ostatnia prawdopodobnie nie jest wykorzystywalna – ma wkompilowaną pewną ochronę przed podatnościami klasy buffer overflow). Pełen atak polega na wejściu ofiary na zainfekowaną stronę webową, po czym na komputerze ofiary…
Czytaj dalej »
Zobaczcie na opis tego błędu: „Getting all the CD keys of any game” mówi samo za siebie. Podatność istniała w API Steamworks, a dokładniej tutaj: partner.steamgames.com/partnercdkeys/assignkeys/ Wśród przekazywanych parametrów były: appid (ID gry), keyid (ID zbioru kluczy aktywacyjnych) oraz keycount (ile kluczy ma być zwrócone). Jeśli teraz podawaliśmy grę + np. pierwszy zbiór…
Czytaj dalej »
Często marketing zbiera „przypadkiem” z naszych komputerów tyle danych ile się tylko da, aż wybuchnie afera. Wtedy wszyscy wycofują się rakiem. Podobny scenariusz ma miejsce w przypadku narzędzia RedShell: Red shell is a Spyware that tracks data of your PC and shares it with 3rd parties. On their website they…
Czytaj dalej »
Jeśli komunikacja jest szyfrowana za pomocą algorytmu AES-256 (ze złożonym kluczem) – to nie da się jej zdeszyfrować, prawda? No niekoniecznie, jak pokazaliśmy w ostatnim tekście na sekuraku, atak Padding Oracle umożliwia deszyfrację takiego ruchu, a w artykule Breaking Steam Client Cryptografy, pokazano jak taki atak wykonać na konkretnej implementacji. –ms
Czytaj dalej »
