Exploitation choquante d’une faille par un hacker Call of Duty

Imaginez un instant que vous jouez tranquillement à votre jeu en ligne favori, accumulant des victoires durement acquises, quand soudain, sans crier gare, vous vous retrouvez banni. Victime d'un complot ourdi par un hacker mal intentionné ayant exploité une faille dans le système de sécurité du jeu. C'est malheureusement ce qu'ont vécu des milliers de joueurs de Call of Duty récemment, piégés par un individu se faisant appeler "Vizor".

Une faille béante dans l'anti-triche Ricochet

En octobre dernier, le géant du jeu vidéo Activision avait admis l'existence d'un bug dans son système anti-triche Ricochet, qui avait affecté "un petit nombre de comptes de joueurs légitimes". Mais la réalité semble bien pire. Selon les révélations choc du hacker Vizor à TechCrunch, ce sont en fait des milliers et des milliers de joueurs qui ont été bannis, essentiellement piégés et faussement étiquetés comme tricheurs.

J'aurais pu faire ça pendant des années. Tant que je cible des joueurs au hasard et personne de connu, ça serait passé inaperçu.

– Vizor, le hacker ayant exploité la faille

Le hacker a réalisé que Ricochet utilisait une liste de chaînes de texte codées en dur comme "signatures" pour détecter les tricheurs. Il lui suffisait alors d'envoyer un message privé contenant l'une de ces chaînes, comme "Trigger Bot", pour faire bannir instantanément le destinataire. Vizor affirme même avoir développé un script pour bannir des joueurs aléatoires automatiquement.

Un système anti-triche trop simpliste

Un ancien employé d'Activision a confirmé à TechCrunch que Ricochet scannait effectivement la mémoire à la recherche de certaines signatures, une méthode jugée bien trop simpliste :

Je n'arrive pas à croire qu'ils bannissent des gens sur un simple scan mémoire cherchant "Trigger Bot". C'est tellement stupide. Et ils auraient dû protéger les signatures. C'est un travail d'amateur.

– Un ex-employé d'Activision

Vizor dit avoir ciblé des joueurs connus également, et certains streamers se sont effectivement plaints d'avoir été bannis puis débannis une fois le bug corrigé par Activision en octobre. C'est d'ailleurs la publication des détails de l'exploit par un autre hacker sur les réseaux sociaux qui a mis la puce à l'oreille d'Activision.

Les leçons à tirer pour les éditeurs

Cette affaire met en lumière les défis immenses auxquels font face les éditeurs de jeux dans leur guerre contre la triche :

• Leurs systèmes anti-triche doivent être robustes et bien pensés, pas simplistes
• Toute signature ou donnée sensible doit être protégée et masquée
• Les décisions de bannissement ne peuvent reposer sur des critères minimaux

Il est crucial pour les studios de rester plus que jamais vigilants et de muscler leur sécurité face à des hackers toujours plus créatifs pour trouver des failles et en abuser. Espérons que ce bad buzz serve de piqûre de rappel pour Activision et l'industrie, afin que les joueurs honnêtes ne soient plus injustement bannis par de telles méthodes à l'avenir.