C'est vendredi, pendant la conférence Black Hat Europe 2013 qui a eu lieu à Amsterdam (12-15 mars), que Luigi Auriemma et Donato Ferrante, les fondateurs de l'entreprise de conseil en sécurité ReVuln basée à Malte, ont révélé le problème touchant la plateforme Origin d'Electronic Arts. La vulnérabilité permet à un attaquant d'exécuter du code arbitraire sur les ordinateurs des utilisateurs d'Origin en les incitant à visiter un site web malveillant ou à cliquer sur un lien spécialement conçu. « Dans la plupart des cas, l'attaque est automatique et ne nécessite aucune intervention de l'utilisateur », ont-ils expliqué.
Lorsque le client Origin est installé sur un ordinateur, il s'enregistre comme gestionnaire des liens de protocole origin://, utilisés pour lancer des jeux - y compris avec les options de ligne de commande - ou de déclencher d'autres actions par l'intermédiaire du client. Certains jeux offrent des options de commande qui permettent de charger des fichiers supplémentaires. Par exemple, les chercheurs ont montré comment fonctionnait une attaque sur le lien Origin du jeu « Crysis 3 », qui prend en charge une option de commande appelée openautomate. Cette option permet aux utilisateurs de tester les performances de leur carte graphique dans « Crysis 3 » en utilisant un benchmark fourni par Nvidia. La commande renvoie à un fichier DLL (Dynamic Link Library) qui est ensuite chargé par « Crysis 3 ».
Détournement des liens origin://
Les chercheurs ont trouvé un moyen de fabriquer des liens origin:// qui commandent au client d'ouvrir « Crysis 3 » avec la commande openautomate, mais en la dirigeant ensuite vers un fichier DLL malveillant hébergé sur un réseau ou une boîte utilisateur WebDAV partagée. Une option de commande distincte peut être incluse dans l'URL de façon à ce que « Crysis 3 » s'ouvre en arrière-plan sans que les utilisateurs voient une fenêtre. Les attaquants peuvent alors inciter les utilisateurs à visiter un site Web contenant un morceau de code JavaScript qui oblige leurs navigateurs à ouvrir le lien spécialement conçu.
Quand le lien origin:// est appelé pour la première fois par un navigateur, les utilisateurs sont invités à l'ouvrir avec le client Origin, gestionnaire désigné pour ce type d'URL. « Certains navigateurs affichent le chemin URL complet ou une partie de celui-ci, mais d'autres n'affichent rien du tout », ont-ils expliqué. L'invite qui s'affiche dans le navigateur demande à l'utilisateur s'il accepte de toujours ouvrir les liens origin:// avec le client Origin. La plupart des joueurs ont probablement déjà choisi cette option afin de ne pas être dérangés par les boîtes de dialogue chaque fois qu'ils cliquent sur un lien Origin. « Si bien que pour eux l'attaque sera totalement transparente », ont ajouté les deux chercheurs.
Une vulnérabilité similaire chez ValveÂ
La vulnérabilité est presque identique à celle trouvée par ces mêmes chercheurs l'an dernier dans la plate-forme de jeu en ligne Steam de Valve. Celle-ci a permis d'abuser de façon identique des liens de protocole steam://. Selon les chercheurs, la faille, signalée en octobre 2012, n'a toujours pas été corrigée. « Pour cela, il faudrait probablement remanier la plate-forme de fond en comble, car elle est due à un défaut de conception », ont déclaré les chercheurs. Ces derniers ne s'attendent d'ailleurs pas non plus à ce que Electronic Arts résolve le problème de sa plateforme Origin de si tôt. « La procédure d'attaque ne concerne pas que « Crysis 3 ». Elle marche aussi pour d'autres jeux qui offrent des options de ligne de commande similaires ou présentent des vulnérabilités locales », ont indiqué les chercheurs. « La faille permet essentiellement d'abuser à distance de fonctionnalités ou de défauts de sécurité qui, autrement, ne pourraient être exploités qu'en local », ont-ils affirmé.
Luigi Auriemma et Donato Ferrante ne divulguent jamais les vulnérabilités qu'ils trouvent chez les éditeurs, de sorte qu'ils n'ont pas alerté EA sur la faille avant de la présenter à la Black Hat Conference. Les chercheurs ont publié un livre blanc sur leur site Internet, exposant le problème plus en détail. Ils proposent aussi une méthode pour atténuer les attaques. Il faut pour cela utiliser l'outil spécialisé appelé urlprotocolview pour désactiver l'URL origin://. Après cette manipulation, les raccourcis sur le bureau ou les fichiers exécutables ne permettent plus de lancer les jeux. Cependant, les utilisateurs peuvent toujours lancer leurs jeux depuis le client Origin.