Tin tặc đã tạo ra các chế độ game độc hại của trò chơi Dota 2 (MOBA), từ đó khai thác để chiếm quyền truy cập vào hệ thống của người chơi.  

Tin tặc đã khai thác lỗ hổng có mức nghiêm trọng cao trong công cụ JavaScript V8 (CVE-2021-38003 – điểm CVSS: 8,8), đây là một lỗ hổng zero-day đã được vá vào tháng 10/2021. V8 có thể vượt qua sandbox trong Dota, vì thế mã khai thác của phiên bản này cho phép thực thi mã từ xa đối với những người chơi Dota khác. 

Các chế độ chơi đã được gỡ xuống khỏi kho lưu trữ Steam bao gồm: Test addon plz ignore, Overdog no annoying heroes, Custom Hero Brawl, Overthrow RTZ Edition X10 XP.  

Một mã khai thác lỗ hổng V8 được nhúng bên trong chế độ chơi “Test addon plz ignore” có thể được khai thác để thực thi mã tùy ý. 

Trong 3 chế độ chơi còn lại, mã độc được thiết kế kết nối với một máy chủ từ xa để lấy payload JavaScript. Đây cũng có thể là một mã khai thác cho lỗ hổng CVE-2021-38003 vì máy chủ không thể truy cập được nữa. 

Trong kịch bản tấn công giả định, người chơi mở một trong các chế độ game trên có thể bị tin tặc nhắm mục tiêu để chiếm quyền truy cập từ xa vào máy chủ có lỗ hổng và triển khai phần mềm độc hại để khai thác.

Nguồn: The Hacker News