Matriz de vetores de ataque: torneio falso vs OAuth legítimo
Em Counter-Strike 2, abordagens no chat pedindo votos em torneios da FACEIT costumam utilizar falsas janelas de navegação (BitB) para clonar logins e registrar chaves de API.
| Etapa | Mecânica do Golpe | Comportamento Oficial | Gravidade |
|---|---|---|---|
| Abordagem | Mensagem de amigo comprometido na Steam | Convites ocorrem dentro da plataforma | Crítica |
| Janela de Login | Pop-up falso renderizado em HTML (BitB) | Janela independente real do sistema | Crítica: Roubo de sessão |
| Ação Maliciosa | Geração oculta de Steam Web API Key | Plataformas de torneio não pedem API | Risco de interceptação de trocas |
Identificação do ataque Browser-in-the-Browser
- Arraste de janela: Tente mover a janela de login para fora da área visível do navegador. Se ela for bloqueada pela borda da página, trata-se de um golpe em HTML.
- Reconhecimento de sessão: Com a Steam conectada no navegador, o OpenID real apenas exibe seu avatar e um botão verde de confirmação, sem pedir credenciais.
Protocolo de recuperação imediata
- Acesse
https://steamcommunity.com/dev/apikeye clique em Revogar minha chave da API Steam. - Desautorize todos os dispositivos nas opções de segurança do cliente Steam.
- Altere sua senha e gere uma nova URL de troca no seu inventário.