Flaw consente di attaccare i giocatori di Origin, dicono gli esperti di sicurezza

Gli utenti di Origin, la piattaforma di distribuzione di Electronic Arts (EA), sono vulnerabili agli attacchi di esecuzione di codice remoto tramite l'origine: // URL, secondo due ricercatori della sicurezza.

Luigi Auriemma e Donato Ferrante, fondatori della società di consulenza sulla sicurezza di Malta ReVuln, hanno rivelato il problema di sicurezza la scorsa settimana durante un discorso alla conferenza di Black Hat Europe 2013 ad Amsterdam.

La vulnerabilità consente agli aggressori di eseguire codice arbitrario sugli utenti Origin "I computer li ingannano facendo visita a un sito Web dannoso o facendo clic su un collegamento appositamente predisposto", hanno affermato i ricercatori. Nella maggior parte dei casi l'attacco sarà automatico e non richiede l'interazione dell'utente, hanno detto.

[Ulteriori letture: Come rimuovere malware dal PC Windows]

L'opzione della riga di comando consente l'intrusione

Quando il client Origin è installato su un computer, si registra come gestore per i collegamenti all'origine: // protocol, che vengono utilizzati per avviare i giochi, incluse le opzioni della riga di comando, o per avviare altre azioni tramite il client.

Alcuni giochi dispongono di opzioni della riga di comando che consentire il caricamento di file aggiuntivi. Ad esempio, i ricercatori hanno dimostrato l'attacco del link Origin contro il nuovo gioco "Crysis 3", che supporta un'opzione di comando chiamata openautomato.

Openautomate è una funzionalità che consente agli utenti di testare le prestazioni della loro scheda grafica in "Crysis 3" utilizzando il framework benchmark Nvidia. Il comando è seguito dal percorso di un file DLL (dynamic link library) che viene quindi caricato dal processo "Crysis 3".

I ricercatori hanno trovato un modo per creare l'origine: // collegamenti che istruiscono il client Origin per aprire " Crysis 3 "con il comando openautomate seguito da un percorso di un file DLL malevolo ospitato su una condivisione di rete o WebDAV. Nell'URL è possibile includere un'opzione di comando separata per rendere silenzioso "Crysis 3" in background senza che gli utenti vedano nessuna finestra.

Gli aggressori potrebbero quindi indurre gli utenti a visitare un sito Web contenente un codice JavaScript che costringe i loro browser a apri il link appositamente predisposto.

Quando un link di origine: // viene aperto per la prima volta in un browser, gli utenti chiederanno se lo vogliono aprire con il client Origin, che è il gestore registrato per questo tipo di URL. Alcuni browser visualizzeranno il percorso completo dell'URL o parte di esso, mentre altri browser non visualizzeranno affatto l'URL, hanno detto i ricercatori.

I messaggi di conferma visualizzati dai browser offrono agli utenti la possibilità di aprire sempre l'origine: / / collegamenti con il client Origin. La maggior parte dei giocatori probabilmente ha già selezionato questa opzione in modo che non siano infastiditi dalle finestre di conferma ogni volta che cliccano su un link di origine, il che significa che per loro l'attacco sarà completamente trasparente, hanno detto i ricercatori.

Simile al difetto di Steam

La vulnerabilità è quasi identica a quella trovata dagli stessi ricercatori l'anno scorso nella piattaforma di distribuzione di giochi online di Steam di Valve. Quel difetto ha permesso l'abuso di vapore: // protocolli allo stesso modo.

La vulnerabilità di Steam è stata segnalata nell'ottobre 2012 ma non è stata ancora risolta, hanno detto i ricercatori. Risolvere il problema probabilmente richiederebbe notevoli modifiche alla piattaforma perché risulta da un difetto di progettazione, hanno affermato. I ricercatori non si aspettano che EA risolva il problema del link di origine tanto presto.

L'attacco non è limitato a "Crysis 3." Funziona anche per altri giochi che hanno caratteristiche simili a linea di comando o alcune vulnerabilità locali, hanno detto i ricercatori. Il difetto rappresenta in sostanza un modo per abusare in remoto di funzionalità o problemi di sicurezza che altrimenti sarebbero solo esposti ad attacchi locali, hanno detto.

Auriemma e Ferrante non rivelano mai le vulnerabilità riscontrate ai fornitori di software interessati, quindi non hanno avvertito EA sul difetto prima di presentarlo a Black Hat.

I ricercatori hanno pubblicato un white paper sul loro sito Web che spiega il problema in modo più dettagliato e propone un modo per mitigare gli attacchi. La mitigazione comporta l'uso di uno strumento specializzato chiamato urlprotocolview per disabilitare l'origine: // URL.

L'effetto collaterale di ciò sarà che i giochi di lancio che utilizzano le scorciatoie del desktop oi loro file eseguibili non funzioneranno più. Tuttavia, gli utenti saranno comunque in grado di avviare i giochi dall'interno del client Origin.