En bref
- Des jeux Steam piégés auraient servi à voler données et cryptomonnaies.
- Le FBI enquête sur une campagne ayant touché des milliers de joueurs.
- La confiance dans les plateformes de jeux mise à l’épreuve.
Des jeux jouables, publiés sur Steam, auraient servi à siphonner des données et des portefeuilles crypto. Si l’accusation tient, on n’est pas sur le malware planqué dans un crack douteux, mais sur un piège installé en vitrine, au milieu d’une plateforme grand public. Et ça change tout.
Des jeux qui tournaient, et c’est bien le problème
Les titres cités dans la plainte fédérale ont des noms qui sonnent comme des petits projets indés tout à fait banals, PirateFi, Lampy, Dashverse, Lunara et BlockBlasters. Selon les autorités américaines, ils avaient été conçus pour paraître légitimes au point d’être installés et lancés comme n’importe quel jeu.
Mais une fois sur la machine, le code malveillant était censé infecter l’ordinateur, voler des mots de passe et d’autres données, puis vider des wallets crypto. Valve a d’ailleurs retiré plusieurs jeux de ce type de Steam au cours de l’année écoulée, dont PirateFi. Franchement, c’est le genre de faille de confiance qui marque.
Le FBI parle d’une opération qui a touché des milliers de joueurs
Mardi, le FBI a arrêté Zyaire Wilkins, un étudiant floridien de 21 ans. Le lendemain, les procureurs l’ont accusé, avec plusieurs complices non nommés, de crimes informatiques liés à cette campagne qui aurait duré deux ans.
Le bureau fédéral affirme que le groupe a infecté environ 8000 victimes. Parmi elles, quelque 80 portefeuilles de cryptomonnaies auraient ensuite été piratés, pour un butin total d’environ 220.000 dollars. En mars, le FBI avait déjà indiqué qu’il enquêtait sur un pirate utilisant des jeux publiés sur Steam pour compromettre des joueurs, et avait demandé aux personnes ayant téléchargé ces titres de se manifester.
Discord, cartes cadeaux et livraison UberEats, la piste très concrète
Les autorités disent que les jeux malveillants étaient promus sur Telegram, Discord et LinkedIn. Après avoir identifié une autre personne impliquée, les agents fédéraux l’ont interrogée. Cette personne a expliqué qu’un petit groupe finançait le lancement et la promotion des jeux en échange d’une part des cryptos volées.
L’enquête a ensuite suivi un compte crypto précis utilisé dans le montage. Les paiements qui en sont sortis ont servi à acheter plusieurs cartes cadeaux, notamment pour UberEats. Après réquisition auprès d’Uber, les enquêteurs ont établi que ces cartes étaient liées à un compte ayant fait des livraisons chez Wilkins, connu en ligne sous le pseudo Sibel.eth.
Puis les fédéraux ont perquisitionné son domicile et saisi un MacBook, des téléphones, d’autres appareils et des portefeuilles numériques. D’après la plainte, il a refusé de parler et de répondre aux questions. Bref, une enquête partie de faux jeux et qui finit sur des traces très réelles.
