Un security engineer ha recentemente evidenziato un bug molto “critico” nel motore di gioco di Valve che consente agli hacker di assumere il controllo dei computer delle loro vittime. Tutto ciò che l’hacker deve fare è indurre gli ignari utenti a fare clic su un collegamento di invito a Steam per giocare a Counter Strike: Global Offensive. Una volta aperto il link, i dati personali saranno compromessi.
Ancora più preoccupante è la dichiarazione del ricercatore, noto come “Florian”, il quale ha sottolineato come il bug possa essere utilizzato per sviluppare un virus simile a un “worm” per infettare anche altri dispositivi. La vulnerabilità non è specifica del gioco, ma esiste piuttosto nel motore di gioco Source utilizzato da diversi popolari titoli, come Team Fortress 2, Dota 2 e Postal III.
La corrispondenza tra Florian e Valve è avvenuta su HackerOne, la piattaforma utilizzata dall’azienda per ottenere rapporti sulle vulnerabilità interne dei loro sistemi. Valve ha ammesso di essere stata lenta a rispondere, nonostante abbia classificato il bug come “critico” nel thread con i ricercatori. “Sono onestamente molto deluso perché mi hanno semplicemente ignorato la maggior parte del tempo“, ha detto Florian.
Florian ha detto di essere stato in grado di confermare che il bug funziona l’80% delle volte, secondo la sua stima, ed ha lamentato di come Valve abbia a più riprese ignorato le sue segnalazioni. Anche un altro ricercatore ha trovato lo stesso bug mesi dopo che Florian lo aveva già segnalato, e il suo rapporto si è unito alla richiesta di intervento inviata alla software house.
Questa non è la prima volta che Valve si è dimostrata lenta nel rispondere e correggere le vulnerabilità segnalate. Già nel 2018 erano arrivate diverse segnalazioni interne di alcuni bug evidenziati dagli stessi ricercatori, che hanno sottolineato come alcuni di essi fossero attivi da più di 10 anni. Il nostro consiglio è dunque quello di fare attenzione alla posta, che arriva per Counter Strike o meno su Steam.
