Broncode van CS:GO en TF2 verschijnt online

De broncode van de Valve-games Counterstrike: Global Offensive en Team Fortress is online verschenen. Het gaat om broncode van enkele jaren geleden, maar desondanks raden diverse community's rond de game al aan om niet online te spelen tot eventuele exploits zijn gedicht.

Het gaat om de broncode die Valve ter beschikking stelt aan 'source code licensees', meldt SteamDB. De vrees is dat door het beschikbaar zijn van de broncode kwaadwillenden betere cheats kunnen ontwikkelen of exploits kunnen maken die kwetsbaarheden in de broncode misbruiken om zo de pc's van gebruikers binnen te dringen.

Community's rondom de games zoals Creators.tf hebben al servers offline gehaald en adviseren spelers tijdelijk de games niet online te spelen. Creators.tf zegt de maatregel te hebben genomen 'voor de te voorziene toekomst' en geeft geen indicatie wanneer de servers weer online komen. Valve heeft nog niet gereageerd op het naar buiten komen van de broncode. Het is ook nog niet bekend hoe dat precies heeft kunnen gebeuren.

Bron:SteamDB

Reacties (42)

[cardboardgenie]

Reactie vanaf officiële Twitter van CSGO

We have reviewed the leaked code and believe it to be a reposting of a limited CS:GO engine code depot released to partners in late 2017, and originally leaked in 2018. From this review, we have not found any reason for players to be alarmed or avoid the current builds.

https://twitter.com/CSGO/status/1253075594901774336?s=20

[Blackboard]

Sterker nog, op Reddit gaat de ronde dat er reeds een RCE (remote code execution) is gevonden en uitgelekt.

Mijn excuus voor de wat matige bron, doch relevant om te vermelden omdat indien het waar is er een reëel risico is bij het spelen van TF2. Ik persoonlijk acht de kans groot dat hier een kern van waarheid achter zit omdat tezamen met de sourcecode exploits en hacks veel makkelijker te vinden zijn.

EDIT: Na wat verder rondzoeken nog een bron van iemand op Discord.
EDIT2: RCE uitgespeld en mijn persoonlijke redenatie toegevoegd.

[Reactie gewijzigd door Blackboard op 22 juli 2024 13:24]

[boe2]

Enige dat er tot nu toe rondzwerft zijn overduidelijk fake screenshots: Werkelijk niemand die het kan bevestigen dat er lekken misbruikt worden.

[govie]

Aanvullend lees ik dit onderstaande, welke zegt dat coder Maxx degene was die het heeft geleaked welke werkzaam was bij tyler McVicker:

This is what I've ascertained so far on the leak, forgive me if I'm wrong:

Someone had access to this source code as part of the Source Engine License and distributed it to Tyler McVicker. Tyler McVicker had this thing he had called "Lever Softworks" which was a Source Engine Modding community. He had employed someone called "Maxx" and Maxx was unfortunately fired from his position. So in frustuation (I can only assume) he went ahead and leaked all the source code for TF2 + CS that he had and also went ahead and leaked some conversations which were presumably with a Valve Employee too.

This is what I know/have heard so far but I can only assume more info might come out too.

This was from @2Eggsss on twitter...

[Turps]

Net zo'n betrouwbare bron als dat cooking mama Bitcoins zou minen. Werd ook bevestigd met een Discord screenshot (en bleek niets van waar te zijn).

[Blackboard]

Vandaar dat ik het ook aangeef in mijn initiële post maar gezien het gevaar dat je loopt door nu TF2 te gaan spelen, zeker het vermelden waard vind ik. Servers zijn niet voor niets offline gegaan en ik wacht graag op een reactie van Valve voordat ik weer ga spelen. Uiteraard mag je je ook met cooking mama Bitcoins bezig houden als dat je interesse is.

[Turps]

Ik persoonlijk vind een reactie die alleen een Reddit comment en Discord screenshot aandraagt, niks toevoegen aan een Tweakers artikel waarin de potentie op het gevaar van exploits al benoemd werd.

[Blackboard]

Dat is je goed recht om Reddit en Discord in twijfel te trekken. Net zoals dat het mijn goed recht is om mede-Tweakers die nog actief TF2 spelen te waarschuwen op het gevaar dat er mogelijk dus nú al een RCE actief wordt misbruikt en je daardoor veel risico loopt. Better safe than sorry.

[Gaming247]

Remote Code Execution

[StefanJanssen]

Even ter aanvulling: RCE = Remote Code Execution

[reckik]

CS Go twitter heeft al gereageerd:
https://twitter.com/CSGO/status/1253075594901774336

We have reviewed the leaked code and believe it to be a reposting of a limited CS:GO engine code depot released to partners in late 2017, and originally leaked in 2018. From this review, we have not found any reason for players to be alarmed or avoid the current builds.

Volgens Garry Newman van Garrys Mod

So with Source Engine exploits following the leak, everything we've seen so far is obvious fake trolly bullshit.
If you know of a legit exploit first hand, my DMs are open and we'll work to react as soon as possible.
Once again: no evidence of actual exploits at the moment

En voor de TF2 fans

Yes all source games are equally unaffected

Toch wacht ik wel ff met mijn TF2 tot morgen

[Reactie gewijzigd door reckik op 22 juli 2024 13:24]

[TechSupreme]

Ik heb gehoord dat als je de code compilet, dat je dan taart krijgt. Heb ik gehoord he, weet verder niet of het waar is.

Kom op zeg, dit is iets wat heel makkelijk te bewijzen is door simpelweg een lijnnr. in de code te geven. Typische iets wat als het niet waar blijkt te zijn, dat je er ook niks meer van hoort. Maar, als er achteraf toch nog wat in zit dat deze mensen in: "zie je wel" modus schieten.

[MatthiasL]

Dit is een hoax.

[henk717]

Ik beheer zelf game servers voor Half Life 2 Deathmatch en weet zeker dat er inderdaad dergelijke exploits in die code moet zitten. Hoe weet ik dat? Simpel, valve update deze game enkel als er beveiligingslekken zijn gepatcht en dat is sinds 2017 twee a drie keer gebeurt.

Er zitten / zaten o.a. kwetsbaarheden in het spel waarmee ze via een spray code konden uitvoeren of spelers konden crashen. Andere server / cliënt infecties in het verleden gebruikte functies in het spel om bestanden te uploaden en te downloaden.

Zelf schatten we het risico voor de spelers op onze servers extreem laag in omdat wij file upload, file download en rcon access blokkeren. Mocht je een geïnfecteerde spray gebruiken zullen andere spelers deze dus nooit te zien krijgen omdat jouw spray niet bij ons aan komt en gezien de geblokkeerde data kunnen ze ook niet zomaar bestanden uploaden of downloaden.

Dus de vraag of er exploits in de code zitten is niet interessant, dat zal het geval zijn want er zijn patches geweest. Het is interessanter of nieuwe exploits worden gevonden die nog niet gepatcht zijn.

Op dit moment zie ik geen reden om mijn servers uit te zetten. Wel raad ik server eigenaren aan om sv_allowupload 0 en sv_allowdownload 0 te gebruiken daarmee voorkom je ellende en verlies je enkel de mogelijkheid voor sprays.

Verder raden wij ervaren spelers die niet enkel bij ons spelen aan cl_allowdownload 0 en cl_allowupload 0 te gebruiken zodat je ook op je cliënt beschermd bent.

Als voorbeeld, Hier is een topic over de file upload exploit in 2018 welke door valve was gepatched : https://forums.alliedmods.net/showthread.php?t=304847

[Reactie gewijzigd door henk717 op 22 juli 2024 13:24]

[jaenster]

Een closed beta van Portal 2 zit er ook in, hier een filmpje van de gameplay

[Reactie gewijzigd door jaenster op 22 juli 2024 13:24]

[Anoniem: 733707]

Dit is een recreatie van F-Stop, door Lever Softworks, een gameontwikkelingsgroep van het YouTube kanaal ValveNewsNetwork, die specifiek is opgericht om geschrapte Valve prototypes te recreëren. Het is dus géén echte béta van Valve.

[Joerdgs]

Niet echt een 'closed beta'. Volgens mij is dat het F-Stop prototype waar jaren geleden ook ooit eens iets over verscheen.

[ComputerGekkie]

Bedoel je miss portal 3? Portal 2 is al jaren uit

[Xfade]

Dit is toch echt een oude voorloper van Portal 2. https://vcc.wiki/wiki/F-Stop

[Eggthud]

Als een leek: wat houdt dit precies in? Ik lees in het artikel dat het kan leiden tot meer cheats. Maar (misschien een domme vraag): als ik TF2 op mijn laptop heb geinstalleerd, staat daar dan de broncode niet al in dan? Of is dit iets wat bij valve op de servers staat?
Want ik neem aan dat je een broncode nodig hebt om het spel te kunnen spelen?

[Reactie gewijzigd door Eggthud op 22 juli 2024 13:24]

[Damic]

Nee, wat er op je pc staat is de gecompileerde versie. Als je de broncode van iets hebt kun je letterlijk je eigen versie maken met de nodige lekken er eventueel in.

[EnigmA-X]

Het lijkt me belangrijker om te melden dat het vinden van kwetsbaarheden in de bestaande games veel en veel makkelijker op te sporen zijn middels de uitgelekte broncode.

Je loopt nu dus al een behoorlijk risico met de officiele "veilige" versie. Geruchten zijn er al van een RCE, wat betekent dat een ander ongewenste code op jouw computer uit kan voeren via de code van de games (zo iemand hoeft dus niet perse mee te spelen). Potentieel om bijvoorbeeld malware/cryptolocker/botnets of enige andere zut op jouw computer geinstalleerd te krijgen zonder dat je het in de gaten hebt.

Het draaien van goede malware en virusdetectie is dus extra belangrijk geworden, maar je moet er rekening mee houden dat die ook niet alles kunnen detecteren.

[Reactie gewijzigd door EnigmA-X op 22 juli 2024 13:24]

[PeacekeeperNL]

Wat jij op je pc hebt staan is een gecompilede versie van de broncode waardoor het uitvoerbaar wordt. Dus een andere vorm van de broncode.

[StefanJanssen]

Wat op je computer staat is gecompileerde broncode. Broncode is leesbaar voor mensen. Compileerde broncode is leesbaar voor de computer.

Omdat deze broncode nu dus openbaar is kun je fouten vinden door de broncode te lezen in plaats van in het spel "willekeurig" dingen uittesten.

Stel je wilt de zwakke punten van een huis weten kun je overal tegen aan gaan slaan. Als je weet van welke materialen het huis is gebouwd en je ziet dat daarin een fout gemaakt is waardoor water de bakstenen oplost (omdat ze ze zijn vergeten te bakken) kun je gericht op die manier het huis binnen zien te komen.

[IKON]

Heel toevallig tijdens de beta van Valorant...

[Eonfge]

Wat juist een hele interessante parallel geeft.

• Riot met Valorant zet hard in op het gebruiken van agressieve client-side anti-cheat software.
• Valve met Counter Strike zet hard in op het gebruik van server side anti-cheat software.

https://support.steampowe...le.php?ref=7562-IPJN-1009

Welke het beste is? Uiteindelijk die van Valve. De client is fundamenteel onbetrouwbaar zolang deze eigendom is van de gebruiker. Hij zal altijd, aanvallen kunnen uitvoeren aan zijn kant, terwijl server side validatie uiteindelijk nooit gesaboteerd kan worden.

[db112nl]

De cheats draaien toch op de client? Als je dan valide door een cheat aangestuurde input naar een server verzend kan de server anti-cheat dit toch nauwelijks onderscheiden van menselijke input?

[MartijnHavinga]

Met valide clientside input kun jij niet goed op iemand mikken die aan de andere kant van een muur zit. Mocht jij dat ineens consequent wel doen dan ben jij zeer waarschijnlijk aan het cheaten

[StefanJanssen]

Een keer een 360 no scope headshot kan nog wel voorkomen, maar je kan er geen 10 achter elkaar doen
Anti cheat bekijkt patronen die niet kunnen. Bij eens nelle muisbeweging naar links en plots stoppen zal zelfs bij de beste speler ooit weer een muisbeweging naar rechts zitten om te corrigeren. Een bot doet dit niet.

Ook heb je timings dingetjes met bv de rocket launcher jump. Dit zijn ook dingen waar een bot een stuk beter consistenter in kan zijn dan een echte speler.

[CEx]

Beide zijn nodig, de client heeft informatie nodig om speelbaar te zijn. Deze informatie beter/anders presenteren dan de oorspronkelijke client is al cheaten. Het hoeft niet direct een insta-win button te zijn. Dit soort cheats vang je niet af met alleen server side bescherming.

[frickY]

Om nieuwe cheats in TF2 hoef je je niet druk te maken.
Daar wordt elke officiele server continue geplaagd door cheatende, en scheldende, bots.

[PilatuS]

Zelfde verhaal met CS-GO. Alleen dat nu iemand je PC mogelijk kan overnemen is wat erger dan iemand die cheat.

[Goester]

Valt heel erg mee, als je trust factor een beetje normaal is, zijn er nauwelijks hackers.

[PilatuS]

Ik heb vroeger heel veel CS gespeelt, maar tegenwoordig eigenlijk alleen nog af en toe eens Danger Zone. Zodra je bij de Hunter Fox Elite of Timber Wolf skillgroup komt is het vrijwel onmogelijk nog een game te vinden zonder cheaters.

[V1RT]

Trustfactor is een illusie. Matchmaking zit vol met cheaters met een hoge trustfactor krijg je 3 van de 5 games een cheater. met een lage trustfactor is het 4 of zelfs 5 van de 5 games, groot verschil is er niet. Enige verschil is heb je een obvious cheater of heb je een closet cheater.

[Kanter]

TF2 vroeger veel gespeeld. Zat in de Orange box. Werd op een gegeven moment aardig gek met die dingen in boxes en gekke items die je kon verzamelen.

Daarna ging het voor mij snel bergafwaards toen het free to play werd.

[Reactie gewijzigd door Kanter op 22 juli 2024 13:24]

[L702]

Destijds kreeg ik de Black Box bij mijn HD2900XT, een dag vóór de release kon ik hem al spelen en ik was vanaf dag -1 hooked. Geweldige game! Na geringe finetuning prima gebalanceerd. Toen kwamen wat nieuwe gamemodes. Enkele nieuwe, weinig afwijkende, wapens en een paar hoedjes... En kort daarna was het gekkenhuis; het spel werd alleen nog gespeeld om hoedjes te verzamelen en de lol was er voor mij snel vanaf. Het was pure chaos geworden. Zover ik me kan herinneren heb ik in de tijd dat ik het heb gespeeld ook nooit te maken gehad met cheaters. Ik zou er best wat voor over hebben om "vanilla" TF2 weer eens te kunnen spelen! (Maar nu dus even niet.)

[DinanV]

Hopelijk versneld dit source 2 voor csgo..

[weakbanana]

Wat geldt er voor de andere Valve-games die op dezelfde enginge gebaseerd zijn zoals Left 4 dead? Als de broncode ook de engine bevat, lijkt het me dat we die ook niet kunnen spelen toch?