Falha no 'Free Fire' permitia roubo de dinheiro e itens dos usuários

Com mais de 80 milhões de usuários ativos, 'Free Fire' é um enorme sucesso atualmente. Isso faz com que vulnerabilidades, se descobertas e exploradas, possam causar grandes danos aos jogadores. Eis que, em uma falha descoberta em agosto, os utilizadores poderiam ter seu dinheiro de dentro do jogo roubado. Felizmente, o problema já foi corrigido.

A vulnerabilidade foi descoberta por Gabriel Lima, conhecido popularmente como um hacker ético que usa o nome Gabriel Pato. Segundo ele, a falha, que foi prontamente comunicada à Garena, produtora do game, quando descoberta, permite que cibercriminosos interceptem os dados resultantes da comunicação entre o dispositivo dos usuários e os servidores do jogo.

Com isso, os hackers podem se passar pelos jogadores e roubar o que estiver associado à conta. A única exigência para acessar as informações como se fosse o utilizador é estar conectado à mesma rede Wi-Fi.

De acordo com Pato, a descoberta ocorreu por acaso enquanto gravava um vídeo para o seu canal no YouTube. Ele percebeu um comportamento anormal após analisar o tráfego entre o jogo e os servidores da empresa.

"Enquanto eu estudava como ocorria a comunicação entre o app e os servidores do game, acabei observando um token de sessão sendo enviado a outros servidores, que não eram os responsáveis pela partida que eu estava analisando anteriormente", revela.

Esse token citado por Pato é usado para identificar a conta do usuário no jogo, sendo único para cada utilizador. Isso permite que o jogador seja detectado e possa logar no game. "Eu sabia que, se aquele token estava aparecendo pra mim, estaria aparecendo para qualquer usuário analisando o tráfego de usuários da rede", comenta.

Para testar como essa informação poderia ser usada, o usuário criou uma ferramenta que conseguia enviar informações para o servidor do jogo usando tokens especificados por ele. Os resultados indicam que, com a inserção dos dados, foi possível realizar compras de itens do jogo usando o dinheiro presente nas contas associadas aos tokens.

Além disso, usando uma ferramenta de proxy, o cibercriminoso poderia se passar pela vítima, utilizando sua conta totalmente. "O invasor teria a exata mesma experiência que a vítima tem em sua própria conta. Ele poderia, por exemplo, usar o chat e falar com amigos e guilda em nome da vítima, alterar as skins e pets da conta, abrir caixas de itens e até fazer compras usando o saldo atual de diamantes da conta, incluindo presentes para contas de terceiros", diz.

O último, sendo um dos pontos mais críticos, permite que os criminosos consigam comprar itens ou créditos usando até dinheiro real e transferi-los para outras contas.

Descoberta da vulnerabilidade

Em agosto, quando descobriu a falha, Pato tentou contato com a Garena. No entanto, ele afirma que encontrou dificuldades para isso, já que não há um meio oficial para denunciar esse tipo de problema.

Após alguns dias de tentativa, Gabriel diz que conseguiu falar com a empresa em 21 de agosto, que enviou uma resposta três dias depois, afirmando que estava analisando o caso. Um tempo depois, no dia 28 do mesmo mês, a empresa reconheceu o erro. No entanto, a correção foi lançada quase um mês depois, em 23 de setembro.

Esse é um dos casos em que vulnerabilidades afetam usuários em níveis elevados, mas que não há nada que os utilizadores possam fazer para se proteger. "Provavelmente quando o jogador percebesse algo irregular já seria tarde demais. Ele poderia notar, por exemplo, o uso de seus créditos de diamantes ou qualquer outra mudança de configuração de sua conta que o invasor pudesse fazer", finaliza.

Fonte: Uol