Het online speldistributieplatform Steam, dat meer dan 75 miljoen gebruikers heeft, maakt het mogelijk voor aanvallers om hun rechten op Windows te verhogen. Dat ontdekte beveiligingsonderzoeker Luigi Auriemma. Het gaat volgens de onderzoeker niet om een beveiligingslek, maar een ontwerpprobleem.

Op Windows installeert Steam de Steam Client Service, die over SYSTEM-rechten beschikt en automatisch wordt gestart als Windows is geladen. Om de Steam Client Service te starten wordt er een specifiek DLL-bestand genaamd steamservice.dll geladen. Dit DLL-bestand is echter afhankelijk van andere DLL-bestanden in de Steam-map. Auriemma ontdekte dat deze DLL-bestanden niet worden geverifieerd.

Een aanvaller die al toegang tot het systeem heeft kan hierdoor een kwaadaardig DLL-bestand in de map plaatsen, dat vervolgens met SYSTEM-rechten zal worden uitgevoerd, waarna ook de aanvaller deze rechten heeft. Het maakt daarbij niet uit of het Steam-platform zelf wordt gestart, aangezien de Steam Client Service standaard in de achtergrond draait.

Toepassing

Zoals gezegd moet een aanvaller al toegang tot de computer hebben. Gebruikers wordt echter altijd aangeraden om met verminderde rechten in te loggen, wat de impact van malware kan verkleinen. Het nu ontdekte probleem is volgens Auriemma dan ook een eenvoudige manier om de rechten op de computer, zonder gebruik van een bepaald beveiligingslek of complexe exploit, te verhogen. Vervolgens heeft de malware volledige toegang tot het Windows Register en kan het zichzelf op de harde schijf verbergen en aanwezige beveiligingssoftware uitschakelen.

Volgens Auriemma is het gebruik van Steam door malware, gezien de populariteit van het platform, dan ook "zeer interessant". Opmerkelijk genoeg heeft de onderzoeker Steam-ontwikkelaar Valve niet over het probleem ingelicht. Het probleem is dan ook nog steeds aanwezig. Auriemma geeft geen advies welke maatregelen Steam-gebruikers kunnen nemen om zich te beschermen.

Naast de publicatie van dit probleem in Steam maakte Auriemma een lek in het VoIP-framework van Steamworks openbaar, dat hij wel eerst aan Valve rapporteerde en inmiddels ook is gepatcht. Via het lek was het mogelijk om op afstand spellen te laten crashen en in theorie ook willekeurige code uit te voeren.