Разработчики Bodycam опровергли слухи об уязвимости RCE

Студия Reissad, разработчик реалистичного шутера Bodycam, столкнулась с волной паники среди игроков из-за сообщений о якобы существующей уязвимости, позволяющей злоумышленникам удалённо выполнять команды на компьютерах игроков (так называемая RCE-атака). Однако, как выяснилось, угроза была сильно преувеличена.

Два дня назад Reissad Studio опубликовала официальное заявление, в котором подтвердила лишь случаи массового «спавна» дронов, которые были исправлены. Сегодня ночью появилось новое сообщение: доказательств возможности RCE-атак через Bodycam нет.

• В развёрнутом сообщении в Steam разработчики подробно разобрали ситуацию и свои действия. Они ещё раз подтвердили наличие (и исправление) бага, позволявшего перегрузить игру и вызвать её принудительное закрытие.
• Студия также изучила сообщения о возможности удалённого выполнения команд, проверила сетевой код и системы защиты, а также привлекла внешнего эксперта по безопасности для «аудита проекта». После всего этого ничего, что позволяло бы провести RCE-атаку, найдено не было.

Разработчики подчеркнули, что продолжают работу над «усилением сетевых систем». Они также объяснили, что первоначальное молчание команды было связано с желанием проверить факты, прежде чем давать игрокам конкретную информацию. Тем не менее студия признала, что должна была сразу сообщить игрокам о проводимом расследовании.

Некоторые пользователи всё ещё не верят заверениям Reissad Studio. Однако многие игроки и раньше сомневались в существовании такой уязвимости, несмотря на множество эмоциональных постов.

Ещё вчера, помимо игроков, обвинявших разработчиков в «некомпетентности», было немало тех, кто сомневался в наличии такой уязвимости — в том числе из-за отсутствия каких-либо доказательств успешной RCE-атаки с использованием Bodycam. Отдельные пользователи отмечали, что если бы такая уязвимость действительно существовала, то меньше всего разработчикам (и игрокам) хотелось бы быстро предать её огласке, то есть подтвердить её существование всему миру, включая потенциальных хакеров.

Более того, ещё до публикации сообщения разработчиков человек, первым сообщивший об уязвимости, заявил о якобы её исправлении. Мы пишем «якобы», потому что, несмотря на заявление этого эксперта, многие игроки сочли это доказательством того, что его предупреждения о возможности RCE-атаки сильно расходились с правдой. В конце концов, разработчики заявили, что не исправляли никакой подобной уязвимости. А зачем бы им это делать, если они не только исправили реальный баг, но и сами подтвердили, что связались с этим самым экспертом (как указано в новом сообщении, для «подтверждения устранения краша»)?

В итоге значительная часть игроков теперь убеждена, что никакого риска RCE-атаки не было, а многочисленные (иногда явно написанные ИИ) посты лишь сеяли панику на основе сообщения «эксперта» на форуме для читеров, который к тому же, по слухам, продавал «защиту от RCE». Появились даже теории заговора о том, что всю эту шумиху вызвала скоординированная группа хакеров, связанная с первоисточником, который также несколько изменил свою версию (изначально пользователь утверждал, в частности, что разработчики не исправили уязвимость).

Разумеется, можно строить разные предположения, но на данный момент выглядит так, что вся история была сильно раздута. Не то чтобы это был первый пример того, как неподтверждённая информация становится «фактом» благодаря драматичным постам, пусть и без доказательств.