Le vol de comptes Steam a toujours existé depuis le lancement de la plateforme et Valve a, depuis longtemps, tenté d’enrayer la tendance avec la mise en place de systèmes de sécurité comme l’authentification à double facteur ou le recours Steam Guard.
Malgré cela, des milliers de comptes sont volés ou piratés chaque jour, et depuis quelques mois les pirates ont recours à une technique très efficace.
Ces derniers ont ainsi recours à une attaque d’un nouveau type : le phishing « brower-in-the-browser« , soit BitB autrement appelée « navigateur dans le navigateur ». L’objectif est toujours le même : subtiliser les informations d’identification des utilisateurs en les renvoyant vers une copie du site de Steam.
L’attaque Browser in the Browser diablement efficace
Cette fois, les pirates créent une fausse fenêtre de navigateur qui vise à aider les utilisateurs à s’authentifier. Elle imite la fenêtre contextuelle ouverte par Steam lors de l’identification et les pirates jouent ainsi sur la confusion que cela peut créer.
Pour appâter les victimes, il suffit de leur envoyer des offres promotionnelles par email avec l’invitation à rejoindre des équipes pour divers jeux en ligne, voter pour leur équipe préférée, accéder à des redifs de compétitions eSport…
Les liens sont diffusés par emails, dans la messagerie du jeu ou partagés lors de live YouTube et Twitch.
Dans le cadre de cette attaque, il faut noter que la fenêtre ouverte se fait passer pour le logiciel Steam au lieu du navigateur et que tous les boutons sont fonctionnels et imités à la perfection. En outre le module propose la gestion de 27 langues qui s’adaptent en fonction de celle sélectionnée dans le navigateur de la victime.
Par ailleurs, la fenêtre affiche l’URL légitime de Steam ainsi que le cadenas garantissant du chiffrement SSL, afin de plus facilement duper les utilisateurs.