« Jeux et virus »

Comment les malwares permettent-ils aux attaquants de voler les comptes et les éléments de jeu ?

Voici un exemple

Trojan.SteamLogger.1 est conçu pour voler des éléments dans les jeux suivants : Dota 2, Counter-Strike: Global Offensive et Team Fortress 2. Les chercheurs de Doctor Web ont détecté ce Trojan au mois d'octobre 2014.

Une fois le module principal lancé et initialisé, le Trojan recherche dans la mémoire de l'ordinateur infecté le processus portant le nom Steam et vérifie si l'utilisateur a accédé à son compte. Si non, le logiciel malveillant attend l'autorisation du joueur, puis récupère l'info sur ce compte Steam (SteamGuard, steam-id, security token) et envoie ces données aux malfaiteurs. En réponse, le Trojan.SteamLogger.1 reçoit la liste des comptes utilisateur auxquels il peut transférer les éléments de jeux de la victime. Le logiciel malveillant tente de voler les éléments de jeux les plus précieux, les clés pour les coffres et les coffres. Trojan.SteamLogger.1 surveille également l'activité du joueur et s'il essaie de vendre un élément, le Trojan tente de supprimer cet élément de la vente.

Toutes les données recueillies sont transmises à un serveur pirate, puis le Trojan vérifie si le démarrage automatique autorisé de Steam est activé, et s’il est désactivé, il lance un keylogger, qui transmet les données tapées aux malfaiteurs toutes les 15 secondes.

Trojan.SteamLogger.1 est diffusé via des messages de chat sur Steam ou sur des forums spécialisés sous couvert d'une offre de vente ou d'échange d’éléments de jeux.

Comment les attaquants tirent-ils des bénéfices ?

• La vente d'un compte : les malfaiteurs essaient de vendre le compte volé sur une boutique en ligne.
• Le détournement des éléments de jeu et leur vente : les escrocs peuvent transférer tous les artefacts liés à compte au compte appartenant aux malfaiteurs (afin de les revendre).
• Les Prêts frauduleux : les nouveaux propriétaires du compte volé peuvent profiter de la confiance des autres membres de la guilde afin d'emprunter de l'argent virtuel ou de détrousser la banque de la guilde. Le résultat : une réputation ruinée, l'interdiction d’accéder au serveur de jeu ainsi qu’une bonne crise de nerfs.
• La diffusion d’URL de phishing : Les attaquants peuvent envoyer des messages contenant des liens vers des sites de phishing, par exemple en publiant une fausse offre de la part du développeur du jeu qui nécessite l'enregistrement des données du compte de l’utilisateur et son mot de passe, ou bien les malfaiteurs peuvent promouvoir des logiciels pour améliorer les caractéristiques du personnage sous couvert desquels des virus et des Trojans sont distribués.
• Extorsion : Demande d’une rançon pour restaurer le compte.

Comment les malfaiteurs infectent-ils les ordinateurs des joueurs ?

Par exemple en distribuant des Trojans.

Les attaquants peuvent envoyer de la part du propriétaire du compte des messages contenant des liens vers des sites de phishing. Par exemple en publiant une fausse offre de la part du développeur du jeu qui nécessite l'enregistrement des données du compte de l’utilisateur et son mot de passe, ou les malfaiteurs peuvent promouvoir des logiciels pour améliorer les caractéristiques du personnage sous couvert desquels des virus et des Trojans sont distribués. Les enfants et les adolescents peuvent être facilement hameçonnés par ces offres.

Si l'une des cibles des malfaiteurs sont les portefeuilles Steam pour acheter des jeux, ils utilisent le phishing pour y accéder. Par exemple, les utilisateurs du service Twitch sont invités à participer à une loterie. Les victimes peuvent « gagner » des armes numériques et des objets de collection pour CounterStrike: Global Offensive. Une fois que le logiciel malveillant accède au compte Steam, il installe sur l'ordinateur de la victime un Trojan qui fait des captures d'écran, ajoute de nouveaux amis, achète des éléments pour les devises Steam, envoie et accepte des offres de vente. Par la suite, les éléments volés sont proposés sur Steam Community Market avec une remise allant jusqu'à 35%.

Les malfaiteurs profitent du fait que les utilisateurs de Twitch sont habitués à bénéficier de remises sur ces market. Twitch est devenu également populaire parmi les joueurs en leur permettant de gagner sur les diffusions en ligne (streams). Certains streamers utilisent des botnets pour augmenter le nombre d'abonnés. Et cela est très répandu dans le domaine du jeu vidéo.

Exemple de logiciels malveillants conçus pour attaquer la plate-forme Steam

A la fin du mois d'août 2014, certains forums ont commencé à publier des messages d’utilisateurs utilisant la plateforme Steam se plaignant de la disparition de certains objets précieux et de certaines ressources de jeux. Ces pertes étaient le fait du Trojan Trojan.SteamBurglar.1. Le malware était diffusé via des messages de chat sur Steam ou sur des forums spécialisés. Les joueurs ont été invités à regarder des captures d'écran d'armes virtuelles ou d'autres ressources présentes officiellement pour la vente ou l'échange. Ces images étaient présentées à l’utilisateur par le Trojan.SteamBurglar.1. Dans le même temps, il trouvait en mémoire le processus steam.exe et en extrayait des informations sur les objets de jeu, afin d'identifier le plus précieux d'entre eux. Puis il les volait pour les revendre ensuite. Les éléments volés ont été envoyés à l'un des comptes appartenant aux malfaiteurs.

Les chercheurs de Doctor web ont découvert récemment que les malfaiteurs créaient des copies malveillantes des pages présentant les jeux dans le catalogue Stream. Les « pages-clones » copient entièrement le design des pages de jeu authentiques. En sélectionnant un faux jeu, l'utilisateur est redirigé vers la page de téléchargement des logiciels malveillants.

La suite de l'attaque dépend des fonctionnalités du Trojan. Ce logiciel malveillant peut être un Trojan Encoder !

Danger : Encoders !

En plus des malfaiteurs qui développent des logiciels malveillants ciblant spécifiquement les jeux en ligne, il existe d’autres risques. Le vrai problème de sécurité réside par exemple dans la propagation de Trojans Encoders, qui cryptent les données de l'utilisateur et demandent une rançon pour le décryptage. Ces Trojan peuvent pénétrer le système via le spam, via un lien dans un message, via un site infecté ou via une clé USB. L'infection s’effectue à l'insu de l'utilisateur, qui la remarque uniquement après le chiffrement des fichiers et l’affichage de la demande de rançon sur l'écran.

Plus d'infos sur les Trojans Encoders ici.

Selon les données des chercheurs de Doctor Web, les Encoders possèdent des fonctionnalités permettant de crypter les fichiers portant les extensions de jeux populaires tels que Call of Duty, Minecraft, StarCraft 2, Skyrim, World of Warcraft, League of Legends, World of Tanks.

Les jeux populaires " au service " des malfaiteurs.

Les attaquants utilisent également les fonctionnalités des jeux afin de distribuer des logiciels malveillants.

Typiquement, lors d’une connexion au serveur de Counter-Strike, le logiciel-client télécharge les composants manquants requis pour le jeu depuis un hôte distant.

La recherche effectuée par les spécialistes de Doctor Web en 2001 a révélé les faits suivants. Le groupe de malfaiteurs a créé un serveur de jeu Counter-Strike qui distribuait le Trojan Win32.HLLW.HLProxy (ce Trojan a également été distribué parmi les amateurs de Counter-Strike comme un logiciel utile, c'est pourquoi beaucoup de joueurs ont téléchargé et installé ce Trojan).

La technique de distribution du Trojan est très intéressante : chaque fois que le joueur se connecte au serveur de jeu, une fenêtre spéciale MOTD qui peut afficher de la publicité ou les règles du serveur s’affiche. Le contenu de cette fenêtre représente un fichier HTML. Le fichier MOTD, créé par les malfaiteurs, inclut le composant caché IFRAME qui assure la redirection vers l'un des serveurs appartenant aux pirates. C'est sur ces serveurs que le Trojan Win32.HLLW.HLProxy a été téléchargé et installé sur les ordinateurs des victimes.

Ce Trojan lance sur l'ordinateur du joueur un serveur proxy, qui imite sur une machine physique plusieurs serveurs de jeu de Counter-Strike et envoie les données appropriées aux serveurs VALVE. Lorsque le logiciel client s'adresse au serveur de jeu imité, il a été redirigé vers le vrai serveur de jeu appartenant aux malfaiteurs et télécharge le Trojan Win32.HLLW.HLProxy.

Ainsi, un nombre très important d’ordinateurs se sont trouvés infectés.

De plus, ce Trojan peut lancer des attaques DDoS sur les serveurs de jeu et ceux de VALVE en les rendant indisponibles à différents moments. Les spécialistes supposent que de cette façon, les pirates tentent de gagner de l'argent sur les propriétaires de serveurs lors de la connexion de nouveaux joueurs, et lancent des attaques DDoS sur les serveurs de jeu qu’ils considèrent " en disgrâce ".

Propagation de virus sous couvert de jeux pour les appareils sous Android.

Les cybercriminels utilisent également la confiance que les joueurs mettent dans les jeux. Ainsi, Android.Elite.1.origin, appartenant à la catégorie des logiciels vandales, est distribué sous couvert de logiciels populaires, y compris des jeux

Lors de son lancement, Android.Elite.1.origin essaie d'obtenir les droits administrateur de l'appareil mobile, qui sont prétendument nécessaires pour effectuer une installation correcte de l'application. En cas de succès, le Trojan commence immédiatement le formatage de la carte SD en supprimant toutes les données stockées. Puis le logiciel attend le lancement du client de la messagerie instantanée.

En plus du formatage de la carte SD et du blocage partiel des communications, Android.Elite.1.origin envoie toutes les 5 secondes à tous les contacts de l’appareil un SMS, et le compte mobile de l'utilisateur dont l'appareil est infecté est vidé en quelques minutes et même quelques secondes !

Les virus comme arme de combat sur le marché des jeux

La concurrence entre les propriétaires de serveurs de jeu est très élevée, on peut le voir notamment via les rating publiés par Gametracker. Au mois de février 2012, les analystes ont découvert plusieurs logiciels malveillants qui visent à neutraliser les serveurs de jeu tournant sous GoldSource (y compris Counter-Strike, Half-Life). L'un d'entre eux, ajouté à la base virale Dr.Web sous le nom Flooder.HLDS, représente un logiciel qui imite un grand nombre de joueurs connectés en envoyant des requêtes multiples de connexion, se qui peut causer le plantage du serveur.

Flooder.HLDS.2, lui, est capable d'envoyer au serveur un paquet de données qui provoque la défaillance du serveur.

Ces deux applications ont été largement distribuées sur les forums de jeux et le nombre d'attaques organisées à l'aide de ces logiciels a augmenté considérablement au cours du mois écoulé.

A noter : ces logiciels vandales peuvent endommager les ordinateurs des malfaiteurs qui essaient de pirater les serveurs de jeu, car certains échantillons de ces logiciels Flooder.HLDS.2, téléchargés depuis les serveurs par les spécialistes de Doctor Web, peuvent infecter l'ordinateur via les Trojans BackDoor.DarkNess.47 et Trojan.Wmchange.14. Le premier assure des fonctionnalités de backdoor et de bot DDoS, le second Trojan remplace dans la mémoire du PC infecté les numéros de portefeuilles pour les transactions avec WebMoney afin de voler de l'argent. Ainsi, les malfaiteurs peuvent devenir les victimes des auteurs d’autres virus et peuvent infecter leurs ordinateurs.