Проблемы с обновлением BlockBlasters
Игроки популярной 2D игры BlockBlasters столкнулись с серьезными проблемами после установки августовского обновления (Build 19799326), содержащего вредоносное ПО. Разработанная компанией Genesis Interactive игра была удалена из онлайн-магазина Steam после того, как специалисты компании G DATA обнаружили, что обновление включало в себя многоступенчатое инфостилерное ПО.
Зловредная активность начинается с файла game2.bat, который собирает информацию, такую как IP-адреса, данные для входа в Steam и информацию об установленных антивирусных программах. Эти данные отправляются на управляющий сервер по адресу 203[.]188[.]171[.]156:30815/upload. Если на компьютере игрока активен только Windows Defender, вредоносное ПО извлекает защищенные паролем архивы с дополнительными вредоносными компонентами.
Скрипты на языке Visual Basic, такие как launch1.vbs и test.vbs, запускают дальнейшие процедуры, собирая данные об установленных расширениях браузера и криптовалютных кошельках. Эти данные также передаются на сервер. Затем скрипт 1.bat изменяет параметры исключений Microsoft Defender, исключая из сканирования определенные файлы игры, что позволяет вредоносным программам беспрепятственно выполнять свои функции, параллельно запуская саму игру для маскировки своих действий.
Используемые методы обхода безопасности
Основные исполняемые файлы, такие как Client-built2.exe, представляют собой backdoor на языке Python, обеспечивающий постоянный удаленный доступ, а также Block1.exe — вариант стелсера StealC на языке C++, собирающий пользовательские данные из браузеров. Зловредное ПО использует устаревший алгоритм обфускации RC4 и подключается к дополнительному серверу exfiltration по адресу 45[.]83[.]28[.]99.
По данным сервисов SteamDB и Gamalytic, более ста игроков загрузили инфицированное обновление. Поток активности в игре был относительно невысок, с 1 до 4 активными игроками в начале сентября. Как минимум один стример столкнулся с заражением во время благотворительного стрима.
Меры безопасности для пользователей
После получения предупреждения от Steam, игра BlockBlasters была обозначена как подозрительная и удалена из магазина. Исследователи настоятельно советуют удалить игру, провести полное антивирусное сканирование и следить за состоянием своих криптокошельков и учетных записей на наличие подозрительной активности. В качестве показателей компрометации выступают следующие файлы: game2.bat, launch1.vbs, test.vbs, и 1.bat.
