駭客釋出惡意Dota 2遊戲模式，藉以侵入玩家系統

近日，Avast安全研究員發現，有駭客建立了四種惡意的Dota 2自定義遊戲模式。駭客在這些遊戲模式中嵌入了惡意程式碼，可能將其利用來建立對玩家系統的後門訪問。

《Dota 2》繼承了《魔獸爭霸3》的自定義地圖系統，允許任何有程式設計經驗的玩家實現他們對遊戲的想法。這些玩家自制地圖本質上是利用Dota遊戲引擎製作的全新的遊戲。目前玩家社群已經開發了數千種遊戲模式，其中的一款“自走棋”遊戲擁有超過10萬玩家。

在本事件中，駭客利用了Google的V8 JavaScript引擎中的高危漏洞（CVE-2021-38003，已於2021年10月得到修補）。攻擊者建立的惡意遊戲模式包含了可利用這一漏洞的程式碼，從而使攻擊者能夠遠端執行命令，並有可能在被感染的裝置上安裝更多的惡意軟體。

Avast研究員表示，攻擊者的終極目標尚不得而知，但可以肯定的是，他們並非是出於好心的研究目的（一直未向Valve 報告漏洞，很可能懷有惡意並且試圖以更大的規模進行利用）。

Avast安全研究團隊已將這一發現報告給《Dota 2》所屬的Valve公司。Valve已經採取措施升級過時的V8版本，並於2023年1月12日修復了漏洞。Valve及時下架了這些惡意自定義遊戲模式，並通知了所有受到影響的玩家。據稱，只有不到200名玩家受到影響。

該篇研究報告在最後補充道，該文並非旨在貶損Valve的自定義遊戲系統，與之相反，Avast認為此類官方支援的自定義遊戲社群對整體玩家的安全性有著積極作用。因為Valve可以對遊戲模式進行稽核並刪除惡意模式，而許多其他遊戲並沒有對自定義遊戲的整合支援，導致玩家只能求助於從第三方站點下載模組，反而會更容易受到捆綁惡意軟體的侵害。

編輯：左右裡

資訊來源：decoded.avast.io

轉載請註明出處和本文連結

每日漲知識

網路釣魚（phishing）

一種社交工程陷阱，試圖誘騙使用者，使之掉以輕心，從而開啟附件或連結，獲取使用者敏感資訊。它不加區別地傳送給大量使用者。

﹀

﹀

﹀