Call of Duty、プレイヤーへのRCE攻撃多発を受けPC版をオフラインに

Call of Duty: World War 2の開発元は、リモートコード実行（RCE）の脆弱性がライブマルチプレイヤーマッチ中に被害者のコンピューターを乗っ取るために悪用されているという広範な報告を受け、週末にPC版をオフラインにしました。

2017年に発売された本作は、6月30日にXboxのGamePassサービスを通じて配信されました。7月5日、ゲームアップデート用のXアカウントは、2017年版のPCバージョンが「問題の報告を調査する間」Microsoft Storeから削除されると発表しました。

しかし、GamePass経由でプレイしていたユーザーたちは、ライブマッチ中に自分のPCが乗っ取られる様子を映した動画を次々と投稿し始めました。

あるプレイヤーは、自身のゲームがフリーズし、バックグラウンドでWindowsのコマンドファイルが実行される様子を録画して投稿しました。その後、ハッカーが「お前のケツをRCEしてやった」と書かれたテキストメッセージを表示し、ロサンゼルスのエンターテインメント法律事務所Mitchell Silberberg & Knupp LLPに連絡するよう指示していました。他のユーザーからは、ハッカーによってPCがシャットダウンされたり、デスクトップ画像がポルノ画像に変更されたりしたとの報告もありました。

サイバーセキュリティ企業MalwareBytesによると、問題の原因は、古いCall of Dutyシリーズが多くの他タイトル同様、専用サーバーからピア・ツー・ピア（P2P）ネットワークに切り替わる仕組みにあるようです。古いゲームのためにサーバーを運用・維持し続ける代わりに、多くのゲーム会社は最終的にそのリソースを廃止または転用し、プレイヤー自身のPCをサーバーホストとして利用できるようにします。しかし、これにより悪意のある第三者がその接続を利用して対戦相手をハッキングするリスクが生じます。

「古いタイトルのハッキングはCall of Dutyコミュニティ内では公然の秘密であり、プレイヤーはしばしばSteamでのプレイを避けています」とMalwareBytesの研究者Pieter Arntz氏は記しています。

Call of Dutyシリーズは、ハッカーやチーターが多いことで悪名高く、ゲームソフトの脆弱性を悪用して自動エイムなどの不正なアドバンテージを得たり、単に他のプレイヤーを苛立たせたりしています。これは、ハッカーがCall of Dutyの膨大なコードベースの脆弱性を利用して他のプレイヤーを妨害・侵害した初めてのケースではありません。6年前にも研究者が、Steamという人気PCゲームプラットフォームを通じてCall of Dutyゲームでリモートコード実行権限を取得できることを示す概念実証コードとともにCVEを報告しています。

Call of DutyのXアカウントは、土曜日以降ゲームの状況や調査についての最新情報を提供していません。ゲームのメインXアカウントによると、Call of Duty: World War 2は7月2日朝、シリーズの他9タイトルとともに一時的にメンテナンスのため停止されました。

EA/Activisionの広報に対し、今回の脆弱性によるオフライン化について確認を求める質問を送りましたが、すぐには返答がありませんでした。