کاربران استیم به مدت یک دهه در معرض خطر نفوذ هکرها قرار داشتند

شرکت ولو به عنوان مالک پلتفرم استیم، به مدت ۱۰ سال در جریان یک باگ بسیار خطرناک در پلتفرم خود بوده است.

در جدیدترین اخبار بازی در بازی‌مگ؛ استیم به عنوان یک پلتفرم توزیع دیجیتالی محتواهای سرگرمی برای رایانه‌های شخصی، امروزه دارای میلیون‌ها کاربر فعال است. این میزان بزرگ از جامعه هدف، مشخص شده که برای یک دهه پیرامون خطر جدی نفوذ هکرها و حملات سایبری، آسیب پذیر بوده‌اند.

درباره این خطر جدی، البته مدت‌هاست که استیم هم از آن مطلع بوده و از زمانی که این باگ نفوذپذیری پیدا و به ولو گزارش شده، حدود ۱۰ سال می‌گذرد. در این مدت و با سوءاستفاده از این مشکل، هر هکری در صورت آگاهی از باگ می‌توانست از آن بهره‌برداری کرده و به سیستم هر کاربر دیگری که از استیم استفاده می‌کرد حمله کند. این باگ اولین بار توسط یک محقق امنیتی در Contextis یعنی شخصی با نام تام کورت پیدا شده است. بنا به اظهار نظر کورت، هر هکری با سطح معلومات فنی کافی پیرامون ماهیت باگ، می‌توانست از این کدهای قابل نفوذپذیری سوءاستفاده کرده و اقدام به نصب کدهای خودش در سیستم کاربر قربانی کند. این سطح از رخنه می‌تواند حتی به ارسال کدها و برنامه‌های بسیار مخربی منتهی شود که درنهایت یک هکر، بتواند کنترل کامل سیستم قربانی را در اختیار خودش بگیرد.

کمپانی Valve به عنوان مالک پلتفرم استیم، ظاهرا اولین بار در جولای ۲۰۱۷ (تیر-مرداد ۹۶) اقدام به رفع و رجوع این باگ کرده بود. در این زمان، شرکت اقدام به نصب یک آپدیت از نوع space layout randomization برای کاربران دسکتاپ استیم کرد تا کار برای هکرها در بهره‌کشی از این باگ مخفی، بیش از گذشته سخت شود. شرکت ولو درنهایت نیز حدود دو ماه پیش و در آوریل گذشته، با نصب یک پچ به طور کامل این آسیب‌پذیری نرم‌افزاری را برطرف نمود.

توضیحات دیگر کورت پس از اینکه حالا باگ به طور کامل رفع شده، این است که این باگ واقعا در شاخه آسیب‌پذیری‌های خطرناک قرار داشت و «برای بهره‌برداری و نفوذ، کار نسبتا ساده بود». با این حال به گفته کورت، این شرکت احتمالا به این دلیل اقدام به رفع و رجوع این باگ نکرد، چون تصور نمی‌کرد در آن زمان نیازی به این کار باشد. «کدهای مشکل‌دار و آسیب‌پذیر احتمالا خیلی قدیمی بوده‌اند. اما در هر صورت به نظر می‌رسد نشان از یک نظم کاری خوب دارد، توسعه‌دهندگان پلتفرم به نظر دلیلی نمی دیدند نزدیکش شوند یا روی هسته اسکریپت خود بروزرسانی انجام دهند.»

به طور کلی، باید در نظر گرفت که شرکت‌های امنیتی به شکل خصوصی و گاهی به شکل قراردادی، اقدام به رصد برنامه‌نویسی پلتفرم‌ها می‌کنند و در صورت وجود مشکلات نفوذپذیری، مالکان را در جریان آن قرار می‌دهند. از دید کورت، دلیل دیر اقدام کردن شرکت ولو عادی و معمول بوده و توسعه‌دهندگان احتمالا در بهترین زمانی که امکانش فراهم بود، اقدام به بروزرسانی این بخش از کدهای بسیار قدیمی و مشکل‌دار کرده‌اند.

شرکت Valve در این چند هفته اخیر غیر از خبرهای خوشی همچون استخدام کارمندان جدید برای کار روی چند بازی فوق محرمانه و همچنین تصاحب استودیو سازنده بازی Firewatch، مدتی هم هست که روزهای نسبتا سختی را هم پشت سر گذاشته است. درواقع همین اواخر بود که فاش شد شرکت اپل، تصمیم به بلوکه کردن اپلیکیشن جدید Valve برای عرضه در فروشگاه اپ استور iOS کرده بود.