Varias vulnerabilidades en Steam permitían tomar el control del ordenador del jugador

Archivado
Investigadores de Check Point Software Technologies han informado sobre la identificación de hasta cuatro vulnerabilidades en Steam, que un atacante podría haber aprovechado para de forma remota bloquear juegos y tomar el control de los ordenadores de los jugadores así como los servidores de un videojuego. La compañía compartió sus hallazgos con Valve el pasado septiembre y tres semanas después los primeros parches de seguridad empezaron a distribuirse en forma de actualizaciones entre los juegos disponibles en la plataforma.

Según detalla Check Point Software Technologies, las vulnerabilidades fueron detectadas en Steam Sockets, un plugin que forma parte del conjunto de herramientas multijugador que Valve ofrece a los desarrolladores. El fallo de seguridad presente en los títulos de terceros permitía a un atacante tomar el control por completo de los servidores de un videojuego. “Este mismo error también se podría haber utilizado para secuestrar los equipos de todos los jugadores conectadas a un mismo servidor”, indica la compañía de seguridad.

Este último escenario no se podía dar en los juegos desarrollados por Valve (Counter-Strike, Dota 2), que sin embargo seguían siendo vulnerables a fallos de seguridad que se encontraron tanto en los servidores de Steam como en el de los clientes, ya que están instalados en los equipos de los usuarios. Estos errores permitían a un atacante bloquear un juego en remoto y, en algunos casos, tomar el control del ordenador del jugador.

“Para explotar esta vulnerabilidad, el ciberdelincuente tan sólo tiene que conectarse al servidor del videojuego que desee atacar”, explica Check Point Software Technologies. “Tras esto, puede actuar según su voluntad y desencadenar el ataque enviando cargas maliciosas al jugador o videojuego deseado, sin que para ello sea necesario ningún tipo de interacción. A partir de este punto, el atacante podría explotar esta vulnerabilidad en todos los usuarios de un título, ya que tanto los jugadores como el juego son vulnerables”.

Check Point Software Technologies asegura que la vulnerabilidad encontrada en Steam “es una de las mayores” que su equipo de investigadores ha identificado en la industria del videojuego en los últimos años. La compañía recuerda que en el pasado también ha encontrado fallos de seguridad en Fortnite y la plataforma de Electronic Arts.
Si en algo nunca ha destacado Steam es en ofrecer seguridad [qmparto]
Y esto de las vulnerabilidades cómo funciona?

Una empresa/consultora que se dedica a esto investiga por su cuenta y cuando encuentra algo le dice a la compañía, "Tienes una vulnerabilidad muy grave, si quieres saber cuál, págame".

O directamente VALVe ha contratado a esta gente?
Yo siempre he sido de estar "cagado" con mi cuenta por estas cosas. Les juro que he pensado mil veces que puede pasar que algun dia trate de entrar y por una cosa como esta pierda mi cuenta con mis juegos y lo mismo con mi cuenta de consolas. Por eso soy mas de fisico que de digital aunque en PC tengo una lista considerada de juegos en las distintas plataformas porque juego principalmente en PC.
...
@Faxtron No es por causar alarma, pero en tu casa también pueden robar y llevarse consola, PC y juegos. La segurdad total no existe y mientras haya gente dispuesta a robar, pues habrá robos.

Es claro que internet hace que te puedan robar muchas más personas, y desde cualquier punto, pero a la vez, el rebaño, tan grande, te protege en cierta medida (como en las bandadas de pájaros o de ñúes por poner un ejemplo)

Así es la vida. Hay que actuar con cabeza e intentar protegerse, pero hay que se consciente de que la seguridad total es una quimera.

Saludos
¿Y cómo se saltan la verificación de Steam? Tendrían que poder entrar en tu Gmail también, o en la aplicación de móvil, además de poner el código de Steam Link que aparece en el PC... Vamos, que o hackean al usuario por completo, o Valve esta gaciendo algo muy pero que muy mal.
DanZappa escribió:¿Y cómo se saltan la verificación de Steam? Tendrían que poder entrar en tu Gmail también, o en la aplicación de móvil, además de poner el código de Steam Link que aparece en el PC... Vamos, que o hackean al usuario por completo, o Valve esta gaciendo algo muy pero que muy mal.


También esta la verificación del teléfono por código de mensajería.
DanZappa escribió:¿Y cómo se saltan la verificación de Steam? Tendrían que poder entrar en tu Gmail también, o en la aplicación de móvil, además de poner el código de Steam Link que aparece en el PC... Vamos, que o hackean al usuario por completo, o Valve esta gaciendo algo muy pero que muy mal.


se habla de ejecutar codigo remotamente, por ejemplo, al unirte a un servidor de csgo podrían ejecutar cualquier .exe o comando sin que te dieses cuenta.
Al final es lo de menos, si luego cada juego instala su propio rootkit con control remoto absoluto sobre la máquina.

PC gaming = Coladero

Pero bueno, no digamos muy alto las verdades que luego se nos irrita la cofradía de la PCMR.
No veo en la noticia lo más importante: si estos fallos de seguridad se han subsanado ya o aún persisten.

Madre mía los comentarios anti-pc, qué lamentables.
Qué ternuritas los comentarios anti-PC.
alsaan escribió:Al final es lo de menos, si luego cada juego instala su propio rootkit con control remoto absoluto sobre la máquina.

PC gaming = Coladero

Pero bueno, no digamos muy alto las verdades que se nos irrita la cofradía de la PCMR.


Como han dicho, nada es 100% seguro, y si no preguntale a Nintendo por la oleada de hackeos que hubo hace poco o a Sony por los de hace unos cuantos años.

pacopolo escribió:No veo en la noticia lo más importante: si estos fallos de seguridad se han subsanado ya o aún persisten.


No dice expresamente que este arreglado por completo, pero si que al poco de comunicarle el fallo a Valve empezaron con los parches. Asi que a estas alturas es de esperar que esté corregido completamente.
alsaan escribió:Al final es lo de menos, si luego cada juego instala su propio rootkit con control remoto absoluto sobre la máquina.

PC gaming = Coladero

Pero bueno, no digamos muy alto las verdades que luego se nos irrita la cofradía de la PCMR.

Como si no se pudiese vulnerabilizar consolas XD

Por favor dejemos de decir tonterias que ya tenemos una edad.
@alsaan Que yo sepa, ojo que yo sepa, no he visto nada igual a lo que le pasó a Sony con PSN en PC, al menos en Steam.

Saludos.
Athropos escribió:
alsaan escribió:Al final es lo de menos, si luego cada juego instala su propio rootkit con control remoto absoluto sobre la máquina.

PC gaming = Coladero

Pero bueno, no digamos muy alto las verdades que se nos irrita la cofradía de la PCMR.


Como han dicho, nada es 100% seguro, y si no preguntale a Nintendo por la oleada de hackeos que hubo hace poco o a Sony por los de hace unos cuantos años.

Claro, pero en una consola tienes juegos y poco más... en un PC lo normal es que también tengas información personal, del trabajo, bancaria... que te interesa bastante más tener protegida.

Ya en un PC medio el tema de la seguridad está bastante mal, pero si además le añades por ahí los procesos y rookits de Steam, de la EGS, de Origin, de Blizzard, de Denuvo... todos ellos con capacidad de mandarte código ejecutable de forma remota pues al final estás exponiendo un montón de puntos de entrada a tu máquina.

@ellieisevil Que todo este software que rodea a los juegos de PC supone una fuente de vulnerabilidades no es una tontería, es un hecho. Imposible saber la de ordenadores que habrán sido atacados utilizando alguno de los fallos de seguridad que cita la noticia.

@AlterNathan Eso fue un ataque a los servidores de la compañía, no tiene mucho que ver con el tema de la noticia, que afecta a la seguridad de tu propia máquina.
@alsaan Será, pero en consola es posible. Lo de los datos bancarios y tal, no sé como tomarmelo, conque tengas otro usuario o mejor otra partición con linux, e incluso como yo, que tengo mis datos en otro PC que ni toca el steam ni nada parecido pues mira, bastantes protegido voy.

Que por cierto en consola, como compres digital, que hay gente que lo hace, ya tienes tu tarjeta metida.

Saludos.
Estos clientes deberían poder instalarse sin privilegios elevados, con eso deberían tener acceso a todo lo necesario.
Aparte, una buena práctica es no dejarlo abierto de fondo mientras no se use. Ya que es bastante habitual de los launcher estos que “cerrar” significa minimizar al área de notificación.
Pues es lo mejor @AlterNathan, yo también lo tengo así, con un disco duro y una instalación de Windows sólo para el tema. Pero no es lo habitual... tengo algún amigo que le da muchísimo reparo meter la tarjeta de crédito en Steam, al final siempre le tengo que acabar echando una mano para comprar juegos. Y la verdad es que vistas noticias como estas casi me parece justificada la paranoia.

En cuanto al tema de meter la tarjeta en la consola, yo diría que eso más bien se guarda en los servidores de la compañía en cuestión. Y al ser un sistema cerrado pues tampoco hay mucho riesgo de que una extensión de terceros te la pueda interceptar en el momento de escribirla.
@alsaan La tarjeta de credito/debito las guardas en los sistemas de Steam no en tu ordenador, a no ser que lo hagas tú por tu propia cuenta. Aparte hay alternativas como poner Paypal (es bastante seguro con verificación de 2 pasos), o utilizar tarjetas de prepago.

Saludos.
alsaan escribió:Pues es lo mejor @AlterNathan, yo también lo tengo así, con un disco duro y una instalación de Windows sólo para el tema. Pero no es lo habitual... tengo algún amigo que le da muchísimo reparo meter la tarjeta de crédito en Steam, al final siempre le tengo que acabar echando una mano para comprar juegos. Y la verdad es que vistas noticias como estas casi me parece justificada la paranoia.

En cuanto al tema de meter la tarjeta en la consola, yo diría que eso más bien se guarda en los servidores de la compañía en cuestión. Y al ser un sistema cerrado pues tampoco hay mucho riesgo de que una extensión de terceros te la pueda interceptar en el momento de escribirla.


Y a mi padre le clonaron la tarjeta en un restaurante cuando fue a pagar. ¿Debería tener reparo en pagar con tarjeta? ¿O debería tener reparo por llevar 300€ en metálico para pagar en el supermercado no vaya a ser que me roben por la calle?

Para los testigos de lo digital y de lo físico: No hay nada 100% seguro y os pueden robar las cosas sean en físico o digital
drumtronicpw01011110 escribió:
alsaan escribió:Pues es lo mejor @AlterNathan, yo también lo tengo así, con un disco duro y una instalación de Windows sólo para el tema. Pero no es lo habitual... tengo algún amigo que le da muchísimo reparo meter la tarjeta de crédito en Steam, al final siempre le tengo que acabar echando una mano para comprar juegos. Y la verdad es que vistas noticias como estas casi me parece justificada la paranoia.

En cuanto al tema de meter la tarjeta en la consola, yo diría que eso más bien se guarda en los servidores de la compañía en cuestión. Y al ser un sistema cerrado pues tampoco hay mucho riesgo de que una extensión de terceros te la pueda interceptar en el momento de escribirla.


Y a mi padre le clonaron la tarjeta en un restaurante cuando fue a pagar. ¿Debería tener reparo en pagar con tarjeta? ¿O debería tener reparo por llevar 300€ en metálico para pagar en el supermercado no vaya a ser que me roben por la calle?

Para los testigos de lo digital y de lo físico: No hay nada 100% seguro y os pueden robar las cosas sean en físico o digital


+100, excelente respuesta. Lo mejor no es eso: lo mejor es que los que sueltan este tipo de comentarios tendrán millones de datos sensibles y personales en Facebook, Instagram, Twitter, Snapchat, TikTok, las tarjetas puestas en Netflix, Disney +, HBO... y si no ellos, sus parejas, hijos... muchísima información bastante más preocupante que lo que puedan sacarle a la mayoría de su ordenador. Habrá que ver también el uso que le dan a sus ordenadores, que esa es otra: las web que visitan, lo que instalan y los coladeros que se meterán ellos solitos o cualquier otro de la casa que tenga acceso al mismo. Pero, ¡hey, que han descubierto un fallo de seguridad en Steam y han avisado a Valve para que lo resuelva! ¡La gente que juega en PC es que es idiota perdida!

Lo importante es si Valve ha actuado adecuadamente resolviendo esos fallos de seguridad o no. No creo que haya empresa que no se haya comido algún problema semejante ahora o que no se lo vaya a comer en el futuro, como están últimamente las cosas, y lo que cuenta es cómo se comportan cuando son avisados de algo así y la efectividad de las soluciones que lleven a cabo.

EDIT: Me respondo a mí mismo, de la fuente enlazada en la noticia: "Valve’s team fully patched the vulnerabilities quickly with great cooperation and full visibility." Vamos, que la respuesta de Valve fue buena y que se resolvieron todos los problemas. Chapó por ellos.
NoMacuerdoDeMiCuenta escribió:Y esto de las vulnerabilidades cómo funciona?

Una empresa/consultora que se dedica a esto investiga por su cuenta y cuando encuentra algo le dice a la compañía, "Tienes una vulnerabilidad muy grave, si quieres saber cuál, págame".

O directamente VALVe ha contratado a esta gente?


https://www.checkpoint.com/products/

Algunos lo harán por la recompensa de bugs, si la hay. Otros tienen sus propios servicios/productos. Y además la publicidad está garantizada. ¿Ves?, yo les he puesto un enlace ;)
JohnH escribió:
NoMacuerdoDeMiCuenta escribió:Y esto de las vulnerabilidades cómo funciona?

Una empresa/consultora que se dedica a esto investiga por su cuenta y cuando encuentra algo le dice a la compañía, "Tienes una vulnerabilidad muy grave, si quieres saber cuál, págame".

O directamente VALVe ha contratado a esta gente?


https://www.checkpoint.com/products/

Algunos lo harán por la recompensa de bugs, si la hay. Otros tienen sus propios servicios/productos. Y además la publicidad está garantizada. ¿Ves?, yo les he puesto un enlace ;)


En esa no había caído, en la de darse publicidad. Ya ves
NoMacuerdoDeMiCuenta escribió:Y esto de las vulnerabilidades cómo funciona?

Una empresa/consultora que se dedica a esto investiga por su cuenta y cuando encuentra algo le dice a la compañía, "Tienes una vulnerabilidad muy grave, si quieres saber cuál, págame".

O directamente VALVe ha contratado a esta gente?

Normalmente se paga a una consultoría para que que te hagan una auditoría de seguridad. Te meten un pendrive con sus herramientas y se encargan de buscar vulnerabilidades en puertos abiertos, servicios inseguros, etc. Normalmente lo que recaban son programas y su número de versión, mostrándote los fallos de seguridad conocidos, pero también hay algún ataque automatizado para comprobar si hay parches, etc. Es algo bastante automatizado, pero te sacan un listado.

Otra opción es que la detecte un cracker y la publique. La gente que busca vulnerabilidades en Internet (con buena o mala intención) tiene disponible esa información y la empresa en cuestión se entere bien por chivatazo o bien porque tenga a alguien buscando esos fallos conocidos.

Finalmente, algunos consultores las buscan por su cuenta y las notifican a cambio de alguna recompensa. Esas recompensas las publican las mismas empresas, pero supongo, no lo sé, que algún consultor la habrá pedido aunque la empresa no hubiese lanzado una campaña de caza de fallos de seguridad.
konosoke escribió:
NoMacuerdoDeMiCuenta escribió:Y esto de las vulnerabilidades cómo funciona?

Una empresa/consultora que se dedica a esto investiga por su cuenta y cuando encuentra algo le dice a la compañía, "Tienes una vulnerabilidad muy grave, si quieres saber cuál, págame".

O directamente VALVe ha contratado a esta gente?

Normalmente se paga a una consultoría para que que te hagan una auditoría de seguridad. Te meten un pendrive con sus herramientas y se encargan de buscar vulnerabilidades en puertos abiertos, servicios inseguros, etc. Normalmente lo que recaban son programas y su número de versión, mostrándote los fallos de seguridad conocidos, pero también hay algún ataque automatizado para comprobar si hay parches, etc. Es algo bastante automatizado, pero te sacan un listado.

Otra opción es que la detecte un cracker y la publique. La gente que busca vulnerabilidades en Internet (con buena o mala intención) tiene disponible esa información y la empresa en cuestión se entere bien por chivatazo o bien porque tenga a alguien buscando esos fallos conocidos.

Finalmente, algunos consultores las buscan por su cuenta y las notifican a cambio de alguna recompensa. Esas recompensas las publican las mismas empresas, pero supongo, no lo sé, que algún consultor la habrá pedido aunque la empresa no hubiese lanzado una campaña de caza de fallos de seguridad.


[ok] [ok]

Conocía la cara ilegal de la moneda, que es la de que comentas de hackers/crackers que buscan vulnerabilidades y luego se rentan de ello, vendiéndolas en foros especializados. Recuerdo entrar a foros de estos y poner en prueba las vulnerabilidades "free" digamos, rollo X versión de Adobe que permitía control remoto o algo así. Estaba muy guapo el tema, pero muchas horas por meterle.
25 respuestas
Archivado
Volver a Juegos