В Bodycam обнаружен опасный эксплойт RCE: разработчики ответили на обвинения игроков

Реалистичный шутер Bodycam ненадолго подверг игроков риску хакерских атак, а реакция разработчиков не успокоила фанатов этого FPS.

У команды Reissad Studio были поводы для радости после последнего обновления Bodycam, которое значительно улучшило проект и привлекло в игру множество людей. К сожалению, похоже, что в море хороших или, по крайней мере, потенциально полезных изменений затесался и серьезный изъян: игроки обнаружили потенциальный эксплойт типа RCE, то есть уязвимость, позволяющую удаленно выполнять команды на компьютере геймера. Возможно, он присутствовал в игре давно.

Эксплойт для армии врагов или нечто большее?

Похоже, что проблема всплыла благодаря случаям добавления Bodycam в список рискованных приложений программой Malwarebytes. Это побудило многих провести расследование, и хотя оно породило темы и дискуссии, столь же «дипломатичные» по тону, сколь и запутанные, не вызывает сомнений, что в игре была какая-то уязвимость, позволявшая как минимум добавлять «сущности» в сессии игроков, а возможно, и упомянутый RCE.

Это все, что известно наверняка, но в остальном сообщения несколько противоречивы. По одним данным, эта уязвимость присутствует в игре давно, хотя случаи ее использования, судя по всему, заметили только сейчас. Есть и обвинения с утверждениями, что это действительно был эксплойт типа RCE, иногда с добавлением жалоб на некомпетентность и «жалкую» коммуникацию разработчиков Bodycam, в основном в контексте отсутствия официальных заявлений и действий модераторов канала игры в Discord.

Официального заявления Reissad Studio пришлось ждать до вчерашнего вечера. Разработчики утверждают, что задержались с ним, потому что хотели «установить факты», прежде чем публично отреагировать на ситуацию. Эти факты таковы: на момент публикации сообщения студия не нашла доказательств использования уязвимости для каких-либо иных целей, кроме «спавна» сотен сущностей в сессиях игроков, например для получения доступа к их личным данным.

Мы хотели установить факты, прежде чем выпускать публичное заявление. Мы связались с пострадавшими игроками, изучили сообщения и проанализировали наш сетевой код, чтобы понять, как использовалась эта уязвимость. Это заняло у нас целый день, и за это время мы не могли с полной уверенностью подтвердить или опровергнуть обвинения, циркулирующие в интернете.
На данный момент единственным подтвержденным случаем использования этой уязвимости, который мы выявили, является ситуация, когда хост вызывал сбои в играх других игроков во время их сессий. После общения с игроками и изучения сообщений мы не нашли никаких доказательств того, что эта уязвимость использовалась в каких-либо иных целях или для получения доступа к личным данным игроков.
Нам нужно было время для проведения расследования. Однако нам следовало сообщить вам о том, что мы ведем расследование, еще до того, как у нас появились все ответы. Мы приносим извинения за отсутствие четкой информации в этот период.

Уязвимость все еще существует?

Остальная часть сообщения сосредоточена на изменениях в новом обновлении и общих заявлениях и заверениях, в том числе об улучшении коммуникации в будущем. Также было упомянуто, что была исправлена уязвимость, позволявшая «нанимать» армию «дронов» для принудительного закрытия перегруженного приложения, а игроки, злоупотреблявшие ею, были забанены.

К сожалению, на этом дело не закончилось, и по двум причинам.

• Во-первых, игроки не доверяли Reissad Studio и утверждали, что разработчики исправили лишь одно из проявлений более серьезной ошибки. По их мнению, расследования экспертов по безопасности показали, что «эксплойт, вызывающий краш памяти» и «ошибки, связанные с десериализацией сетевых пакетов» (то есть с модификацией их кода) — это две отдельные проблемы, а отсутствие доказательств активности типа RCE не означает, что этого эксплойта не существует.
• Что еще хуже, игроки зафиксировали новые случаи появления армий мобов уже после публикации заявления разработчика. Судя по всему, создатели не зря написали об исправлении уязвимости, связанной конкретно с дронами, а не с «сущностями» в целом. Впрочем, часть игроков утверждает, что это «всего лишь» читеры и такие явления не связаны с описываемым эксплойтом.

Пока что результат таков: на форумах и в социальных сетях идут жаркие дискуссии, мнения варьируются от уже упомянутых заявлений о «некомпетентности» и «лжи разработчиков» и реальном существовании RCE до тех, кто считает их беспочвенным посевом паники без доказательств. Ведь до сих пор никто не опубликовал информацию, а тем более запись, которая подтверждала бы возможность осуществления такой атаки через Bodycam, что окончательно закрыло бы споры.

Также появляются заявления о якобы возврате игры в связи с этими сообщениями и об откладывании Bodycam «на полку» многими игроками до полного выяснения ситуации. Да, к таким заявлениям всегда нужно относиться с большой долей скептицизма, но вчерашний дневной «пик» в Steam действительно был значительно ниже, чем за последние несколько дней (более 25 тыс. человек в игре по сравнению с 30-39 тыс. в период с 4 по 7 сентября).