Hackean los foros de Epic Games. Se apunta a vulnerabilidad de inyección SQL

Epic Games está advirtiendo a sus usuarios sobre una falla que afecta a 800.000 cuentas de usuarios vinculadas con los foros en línea de la compañía. Este lunes el desarrollador de juegos cerró temporalmente muchos de sus foros y aconsejó a sus usuarios que cambiaran las contraseñas de las cuentas que usen las mismas credenciales para algunos de sus foros.

Epic Games afirmó que la falla está relacionada con los foros Unreal Engine y Unreal Tournament y que los datos robados incluyen direcciones de correo electrónico y “otros datos ingresados en los foros”. Los datos fueron robados de la cuenta de bases de datos vBulletin de la compañía y, según Epic Games, no incluían “ninguna clase de contraseñas: SAL, HASH ni texto simple”, declaró públicamente la compañía.

“Si bien se filtraron los datos contenidos en la cuenta de bases de datos vBulletin para estos foros, las contraseñas de las cuentas de usuarios están almacenadas en otra parte. Estos foros permanecen en línea y no es necesario cambiar las contraseñas”, afirmó Epic Games.

Este lunes, Epic Games también informó sobre una falla más grave que afecta los foros de juegos para Infinity Blade, UDK, anteriores juegos de Unreal Tournament, y Gears of War. Los hackers aprovecharon estas fallas y obtuvieron acceso a las direcciones de correo electrónico, contraseñas SAL y HASH, y otros datos asociados con dichos foros.

Epic Games urge a los usuarios de estos foros a que protejan sus credenciales, y sobre todo que eviten reutilizar las contraseñas. “Si has estado activo en estos foros desde julio de 2015, te recomendamos que cambies tu contraseña en cualquier sitio que use la misma contraseña”, aconsejó Epic Games.

Asimismo, la compañía sostuvo que los foros para los juegos Paragon, Fortnite, Shadow Complex y SpyJinx no se han visto afectados.

Hemos puesto nuestros foros en modo de mantenimiento mientras investigamos el último incidente.

Epic Games (@EpicGames) 23 de agosto de 2016

En un mensaje de Twitter publicado este lunes, Epic Games alertaba a sus usuarios: “Hemos puesto nuestros foros en modo de mantenimiento mientras investigamos el último incidente”.

El experto en seguridad informática Deral Heiland, jefe de investigación en Rapid7, señaló que el hackeo está vinculado a conocidas vulnerabilidades de inyección SQL. Heiland añadió que el hackeo del foro de Epic Games es el último de una serie de hackeos a foros vinculados con el software de foros vBulletin desactualizado y sin reparaciones.

Epic Games no confirmó a Threatpost el origen del ataque.

“Esta falla es otro recordatorio de que la inyección SQL, vigente desde 1998, no desaparecerá en mucho tiempo. Los informes actuales sobre este incidente señalan que el software de foros vBulletin seguía siendo utilizado con una conocida vulnerabilidad SQLi”, apuntó Heiland en una publicación sobre la falla en Epic Games.

Esta falla es similar a otras vulnerabilidades de inyección SQL detectadas en el sistema de gestión de contenidos Joomla, el sistema de gestión en-memoria HANA de SAP, y últimamente en EBusiness Suite 11i de Oracle.

Heiland aconseja a los usuarios de Epic Game que cambien sus contraseñas debido a las fallas de seguridad en el foro. “Aunque Epic Games sostiene que la mayoría de las contraseñas HASH no son fáciles de intervenir, es importante que los usuarios recuerden que nada es imposible con motivación y tiempo. Además de las contraseñas, los atacantes podrían potencialmente tener a su alcance direcciones de correo electrónico y mensajes privados”, remarcó.

En una declaración publicada el lunes, Epic Games señalaba: “Pedimos disculpas por los inconvenientes causados a todos y publicaremos actualizaciones según vayamos sabiendo más”.

Fuentes Threatpost