(阀)
一个黑客找到了一种通过滥用流行信息来劫持电脑的方法电脑游戏dota2提供恶意计算机代码。
的发现(在新窗口打开)来自杀毒Avast公司揭露了一名黑客利用Dota 2 JavaScript引擎中的一个漏洞，在受害者的PC上启动流氓计算机代码。
问题是:据Avast研究员Jan vojtek称，Dota 2从2018年12月起一直在使用过时的V8 Javascript引擎。研究人员发现，同样的软件也存在漏洞发现(在新窗口打开)在2021年。
默认情况下，Dota 2只会在V8引擎上运行授权版本的JavaScript。所以如果玩家坚持玩主游戏，他们是安全的。然而，Dota 2也允许用户运行玩家社区开发的自定义游戏。
这就是黑客能够利用过时的V8 Javascript引擎的原因。vojtek发现罪魁祸首在Valve的Dota 2上发布了至少四种恶意自定义游戏模式蒸汽用来滥用这个缺陷的存储。
因为V8不是沙箱在Dota中，这种漏洞本身就可以让玩家远程执行代码对抗其他Dota玩家，”他补充道。
在发现的四种恶意游戏模式中，有一种实际上似乎是黑客修补漏洞的测试环境。这个游戏模式被简单地标记为“测试插件请忽略”。但在检查过程中，阿瓦斯特能够理解攻击是如何进行的。这包括发现一个能够从受害者的PC上“记录”信息并执行任意命令的文件。
黑客随后在Dota 2的三种游戏模式中添加了恶意功能，分别是“Overdog no annoying heroes”、“Custom Hero Brawl”和“推翻RTZ Edition X10 XP”。vojtek写道，这些游戏模式中的后门“可以执行通过HTTP下载的任意JavaScript，使攻击者不仅能够隐藏利用代码，而且能够自行更新，而无需更新整个自定义游戏模式。”
好消息是，Valve在1月12日用一个插件修补了这个漏洞更新(在新窗口打开)在Avast向该公司报告该问题后，V8引擎立即生效。Valve没有立即回复记者的置评请求。但该公司告诉Avast，黑客的活动只影响了200名玩家。
黑客的意图尚不清楚。当Avast发现恶意游戏模式时，黑客的控制服务器已经不活动。尽管如此，这次攻击显示了一种具有创造性和威胁性的方式，可以感染大量PC游戏玩家，因为一些Dota 2自定义游戏可以控制数千或数千数百万(在新窗口打开)的球员。
“例如，恶意攻击者可能试图接管一个流行的自定义游戏模式。许多游戏模式都被最初的开发者忽略了，所以攻击者可以尝试一些简单的东西，比如承诺修复漏洞并继续免费开发。”“在一些合法的更新之后，攻击者可能会试图潜入JavaScript后门。”
