Faut-il s’inquiéter de la fuite des codes source de Team Fortress 2 et Counter Strike : GO ?

Le 22 avril 2020, le compte @SteamDB a publié sur Twitter une capture d’un dossier contenant les codes sources de Counter Strike : Global Offensive et Team Fortress 2. Ils avaient auparavant été publiés sur le forum 4chan, avant d’être diffusés par différents forums et réseaux sociaux.

Immédiatement, les communautés des deux jeux vidéo se sont inquiétées des risques de piratage. Mais Valve a rapidement réagi et dit à ses joueurs de ne pas s’inquiéter. Sur le compte officiel de CS:GO, l’entreprise écrit : « Nous avons examiné en détail le code fuité et nous pensons qu’il s’agit d’une republication d’un code limité de CS:GO communiqué à nos partenaires à la fin 2017, qui avait déjà fuité une première fois en 2018. À partir de cet examen, nous n’avons pas trouvé de raisons à ce que les joueurs soient inquiétés ou évitent les versions actuelles du jeu. »

Un copier-coller de ce message a également été publié au sujet de Team Fortress 2. Si aucune preuve d’un piratage en cours n’a été repérée par l’entreprise, ne pas jouer aux jeux peut être justifié par le principe de précautions. 

Valve se veut rassurant : après examen des codes, il n’y aurait pas de risque d’après lui. // Source : Valve

Analyser le code source peut permettre de découvrir des vulnérabilités

Si un groupe d’acteurs malveillants met la main sur le code source — ce qui n’est pas bien compliqué dans ce cas –, il peut l’analyser pour trouver des vulnérabilités. Ce danger n’est pas immédiat, puisqu’éplucher le code de ces jeux prend du temps, mais de premiers effets pourraient apparaître dans les semaines ou mois à venir. Dans le pire des cas, ils pourraient par exemple parvenir à injecter du code malveillant pour ensuite contaminer les ordinateurs des joueurs.

Plus d’un million de joueurs concernés

Comme le rappelle ZDnet, des pirates étaient parvenus à infecter les joueurs de Counter Strike 1.6 en mars 2019 avec un puissant malware. Mais à l’inverse de CS:GO et TF2, cette version de Counter Strike ne faisait plus l’objet de mises à jour régulières. C’est sur ce dernier point qu’il faut tempérer la fuite : les codes sources rendus publics sont, d’après Valve, incomplets et vieux de plus de deux ans. En conséquence, si leur structure globale n’a pas radicalement changé depuis, de nombreuses mises à jour l’ont transformé, patch après patch. Un hack développé pour la version fuitée pourrait ne pas marcher sur la version actuelle du jeu. De même, les développeurs de Valve ont cette fois-ci la capacité de réagir rapidement, et de mettre à jour leur jeu dès qu’une attaque est identifiée.

D’après différents sites d’analyse comme StreamCharts, le nombre de joueurs réguliers de CS:GO tourne autour d’un million, et autour de 100 000 pour TF2. Pour des hackers, ce sont autant de cibles potentielles. Valve a demandé aux membres de ses communautés de les avertir s’ils ont une information supplémentaire sur la fuite.