原標題：玩家與黑客：對遊戲公司和遊戲玩家的網絡威脅

在過去的幾十年中，視頻遊戲領域發生了翻天覆地的變化。這些變化也導致網絡威脅領域的鉅變，而遊戲公司、遊戲本身以及玩家們都開始直面這些威脅了。

雲、移動應用程序和社交網絡的集成、遊戲和平臺的多樣性、流媒體的普及以及以資源整合爲目的的盈利模式的變化，這些因素意味着遊戲行業的攻擊面比以往任何時候都要大。因此，重要的是，遊戲公司必須爲玩家做好防範威脅的準備，並讓他們瞭解可能面臨的威脅的類型。

無論是利用遊戲平臺中的漏洞，還是將惡意軟件與遊戲捆綁在一起，進行廣告欺詐，利用遊戲玩家的憑據進行網絡釣魚或開展欺詐活動，總而言之，在遊戲行業的各個方面，攻擊者都可以利用多種潛在威脅進行網絡犯罪。

軟件漏洞

利用軟件連接遊戲和託管平臺已經十分普遍。而軟件中的安全漏洞風險則可能會被遊戲玩家和外部攻擊者利用。

安全軟件研發失敗時，公司必須儘快修復漏洞併發布補丁。在2019年8月，研究員公佈一款流行遊戲中的一個0day提權漏洞，之前該漏洞披露過但並未修復。大約在同一時間，一家大型視頻遊戲公司因其軟件中的漏洞而被起訴，因爲攻擊者利用該漏洞對客戶信用卡進行欺詐性收費。如果考慮到這是一個線上多人角色扮演遊戲，那麼受影響的客戶數量將達數百萬。

因此，重要的是，提供遊戲平臺和軟件的公司必須實施有效的漏洞管理程序，該程序應包括對第三方披露的漏洞的全面審查，以便可以及時發佈必要的更新。

從遊戲玩家的角度來看，即使發佈了漏洞補丁，如果沒有及時進行軟件更新，那麼也無法對他們進行很好的保護。因此，玩家必須儘快安裝所有已發佈的更新。

在應用補丁程序更新之際，爲了防止玩家延遲更新，諸如Sony之類的一些公司會禁用對大多數應用程序和內容的訪問，直到玩家應用補丁程序爲止。這種方法可以幫助降低遊戲平臺及用戶的風險。

惡意內容

最近，攻擊者已開始利用遊戲基礎結構和服務，在合法流量中的隱藏惡意內容和通信內容。

使用的平臺之一則是Discord，這是一款面向遊戲玩家的語音和文本聊天應用程序。2019年10月，隨着Spidey Bot惡意軟件的發現，第一個利用Discord的案例也被曝光出來。除了對本地合法Discord應用程序進行後門操作外，該惡意軟件還使用Discord Webhook與感染主機進行命令和控制（C＆C）通信。

一個月後，在報告的另一起案件中，發佈了有關使用Discord進行多個惡意軟件感染的報告。其中，攻擊者利用其內容分發網絡（CDN）託管其惡意文件。通過在Discord消息中發送惡意軟件有效載荷，攻擊者能夠在Discord合法域上生成鏈接，然後發送該鏈接誘騙受害者，而無需經過URL過濾器中的檢測。

這些案例表明，公司需要確保自己的安全，並降低與分發內容或提供公共API訪問相關的風險。這意味着要保護API令牌、在CDN上實施殺毒、或者創建用於識別和清除惡意內容或賬號的流程。使用第三方服務（例如聊天平臺）的遊戲玩家在單擊未知玩家的鏈接時應格外小心，即使該鏈接與他們所使用的平臺直接相關。

廣告欺詐

隨着許多流媒體平臺向其創作者提供廣告收入，人們就會想辦法增加觀看次數點擊量。一些用戶可能試圖通過非法手段來做到這一點。

最近發現一個惡意軟件框架能夠將流量引入到特定的某個YouTube視頻或者Tiwtch平臺。公司應監視其網絡中是否存在異常流量，這表明可能存在非法活動。

在2019年3月的一份報告中，Valve公司發現攻擊者在一款名爲Counter-Strike的遊戲中利用漏洞感染Belonard Trojan，並進行獨特的欺詐活動。感染計算機後，此惡意軟件使用了多種技術來推廣遊戲服務器。然後將此功能作爲服務出售給合法的遊戲服務器所有者，這樣子其服務器就會出現在更多用戶的列表中。值得再次說明的是，檢查廣泛殭屍網絡活動相關的流量模式可以幫助公司更快地取締非法運營。

網絡釣魚

這是最常見的攻擊方法之一時，遊戲玩家無法倖免。針對遊戲玩家的網絡釣魚活動有多種主題。在某些情況下，攻擊者只是利用裝備物品或開掛的吸引力誘使受害者爲假冒產品付費。如果這種誘惑足夠可信的話，那麼玩家就會向這些攻擊者泄露信用卡信息，然後就發現他們被騙了。

在其他情況下，網絡釣魚攻擊可能會針對遊戲玩家的帳戶憑據。這些帳戶爲攻擊者帶來了各種好處。這些帳戶可能存儲了信用卡憑證，可以竊取這些憑據並在其他地方使用。如果帳戶中有高級人物或稀有物品，攻擊者可能會出售它們以此獲利。

最後，帳戶也可能只是被用來接管帳戶，這樣合法帳戶就可以附帶着垃圾郵件或詐騙郵件。儘管防禦這類攻擊的一部分責任在於遊戲玩家，但遊戲公司也需要在充分發揮積極作用。

爲了減少成功獲得帳戶憑據網絡釣魚的機會，公司應向遊戲玩家提供多因素身份驗證（MFA）選項。對於公司來說，通知目前針對其玩家的已知網絡釣魚活動也是一個好主意。對於更高安全級別要求的平臺，遊戲公司可以選擇實施安全解決方案，以幫助驗證合法玩家並阻止惡意活動。

暗網的遊戲憑證

IBM的X-Force IRIS研究人員進行了暗網研究，調查與遊戲行業有關的、受到破壞的憑證的最新示例。2020年2月，他們確定了兩類轉儲。一個轉儲是881000個憑據集，用於各種遊戲玩家帳戶，包括用於視頻遊戲和平臺的帳戶。在另外一個轉儲中，有將近3300萬個用戶憑證，這些都是從移動和在線遊戲開發商的平臺泄露的。

惡意軟件

隨着最近各種跨平臺的遊戲越來越流行，攻擊者已經注意到有機會用社會工程學的手段了，利用遊戲誘惑來吸引玩家用戶。通常，這需要分發看似合法的有效負載、流行遊戲和木馬應用程序，事實上，攻擊者已經用惡意代碼感染這些應用了。

例如，這款流行遊戲Apex Legends可通過開發者的網站在移動設備上下載。但是，攻擊者已經建立了相似的網站，並聲稱它們是合法的，以誘騙玩家。如果玩家訪問假網站，下載的有效負載暗藏間諜軟件，這可以感染他們的設備或以釣魚內容竊取其憑據。

再舉一個例子，Baldr Trojan僞裝成在遊戲中開掛的工具，而是實際上卻可以竊取信息。同樣，攻擊者也開始使用所謂的Fortnite cheats手段來感染玩家設備，並竊取數據。

與網絡釣魚活動類似，針對這些攻擊的大多數防禦措施都需要玩家的警惕。但是，通過增加安全性（例如MFA）來保護玩家身份，並使玩家瞭解已知威脅，這樣攻擊者成功的幾率將會大大降低。

殭屍程序

大多數遊戲玩家都知道殭屍程序會困擾遊戲平臺的社交方面。利用殭屍程序啓動虛假對話和邀請的情況並不少見。這個問題已持續很久，尤其是與PlayStation Network和Xbox Live spambot活動有關。

利用殭屍網絡傳播成人內容或者將用戶重定向到指定的惡意頁面，當這種情況廣泛出現時，遊戲平臺的社交網絡可能就會逐漸臭名昭著了。

如果這些平臺存在未成年人，問題就更嚴重了。遊戲公司可以公告惡意內容和殭屍程序的具體情況，但或許，也可以採取更加積極的態度，提前檢測和預防這類情況的再次發生，這樣子玩家就不會再次遇到這類問題了。

遊戲行業不斷擴大的攻擊面

遊戲已經成爲我們文化中越來越普遍的部分，因此對於攻擊者來說，也越來越有吸引力。無論是網絡釣魚攻擊、惡意軟件分發，還是漏洞利用、欺詐活動，這些都是攻擊者可以從遊戲玩家和公司獲利的途徑。儘管不像是金融行業，遊戲公司不會被認爲自己是全球攻擊格局中的首要目標，但是各類威脅攻擊還是層出不窮，因此遊戲公司和玩家都應該瞭解相關威脅並防範這類攻擊行爲。

*參考來源：securityintelligence，Sandra1432編譯，轉載請註明來自FreeBuf.COM