A Unity Technology corrige bug móvel Android, nega exploração

A Unity Technologies lançou um patch para corrigir uma vulnerabilidade de segurança que poderia ter permitido a execução de código malicioso em jogos Android construídos com a sua plataforma, potencialmente roubando credenciais como as frases semente de carteiras de criptomoeda. 

Na sua atualização de segurança aviso, a Unity afirmou que o bug representava um risco de alta severidade; no entanto, não há evidências de exploração ou impacto no utilizador. Foi identificado pela primeira vez em 4 de junho pelo investigador de cibersegurança RyotaK da GMO Flatt Security Inc., e classificado como CWE-426: Caminho de Pesquisa Não Confiável. 

A Unity Technologies, um fornecedor de ferramentas de desenvolvimento 3D em tempo real, impulsiona mais de 70% dos 1.000 principais jogos móveis do mundo.

O bug da Unity afetou versões do editor, expondo aplicações ao carregamento de ficheiros

De acordo com a divulgação, a vulnerabilidade afetou várias plataformas, incluindo Android, Windows, macOS e Linux. Uma versão corrigida do Unity Runtime foi lançada em 2 de outubro, e os programadores estão a ser instados a atualizar o seu software para evitar o risco de explorações.

A vulnerabilidade, com uma pontuação CVSS de 8,4, foi também mencionada pelo RyotaK. Afirma que aplicações maliciosas instaladas nos dispositivos poderiam sequestrar as permissões concedidas às aplicações construídas com Unity, permitindo que os atacantes executassem código arbitrário remotamente.

O diretor da comunidade Larry “Major Nelson” Hryb publicou um aviso de segurança dizendo que as aplicações que usavam versões afetadas do Unity Editor eram vulneráveis a ataques de carregamento de ficheiros e inclusão de ficheiros locais.

Os atacantes poderiam explorar esta falha para obter acesso ao nível de privilégio da aplicação vulnerável. Os sistemas Windows enfrentavam o dobro do risco se existisse um manipulador de URI personalizado registado, que os atacantes poderiam usar para acionar o carregamento de bibliotecas remotamente.

O Unity Runtime vulnerável, presente em builds feitas antes de 2 de outubro, permitia “injeção de argumentos”, o que poderia resultar no carregamento de código de locais não intencionais. Se comprometido, um adversário poderia executar comandos arbitrários ou exfiltrar informações confidenciais de um dispositivo afetado.

O patch está ativo, os projetos começam a reconstruir

A Unity confirmou no final da semana passada que os patches estão agora disponíveis para todos os programadores e aconselhou os programadores a reconstruir os seus projetos com uma versão corrigida do Unity Editor. A empresa também recomendou aplicar o Unity Application Patcher às builds existentes de Android, Windows ou macOS, seguido de testes e reimplantação.

Olá, desenvolvedores XR! Vocês podem ter visto uma notificação da Unity esta manhã.

Uma vulnerabilidade na Unity (a partir da versão 2017.1 em diante) permite carregamento inseguro de arquivos / inclusão de arquivos locais que podem levar à execução de código ou divulgação de dados em aplicativos compilados.

Para remediar, deve… pic.twitter.com/h2PhFCQeX6

— Robi ᯅ (@xrdevrob) Outubro 3, 2025

Na declaração oficial, a Unity reiterou que “nenhuma evidência de exploração ativa” foi encontrada e que nenhum cliente foi afetado. A empresa adicionou que medidas imediatas de mitigação foram comunicadas aos desenvolvedores para evitar qualquer exposição futura.

No Android, o problema poderia levar à execução de código ou elevação de privilégio, enquanto no Windows, Linux (desktop e embarcado) e macOS, a falha poderia ter resultado em riscos de privilégio. O aviso da Unity observou que os jogos para consoles não foram afetados, embora os aplicativos móveis e de desktop compilados em versões vulneráveis da Unity estivessem expostos a ameaças.

Na última sexta-feira, Microsoft também emitiu um alerta de segurança relacionado confirmando que equipes de desenvolvimento de jogos baseadas em Windows estavam revisando e atualizando quaisquer títulos potencialmente afetados. O Windows Defender foi atualizado desde então para detectar e bloquear quaisquer exploits conhecidos relacionados à exploração.

Hackers usando jogos para roubar dados privados

A indústria de jogos mais ampla tem enfrentado ameaças de software malicioso, desenvolvido por hackers que disfarçaram jogos, até mesmo conteúdo baixável, como conteúdo legítimo. Os hackers escondem malware em jogos populares, demos ou mods distribuídos por canais não oficiais. 

Os jogadores podem ajudar os hackers sem saber baixando versões piratas de títulos como Grand Theft Auto V, God of War, ou Mortal Kombat 1 recheados com malware oculto, como o Crackonosh. Uma vez instalado, o vírus do computador utiliza secretamente os recursos do computador do usuário para minerar moedas digitais como Monero (XMR) “silenciosamente.”

Alguns agentes maliciosos injetam código prejudicial por meio de atualizações pós-lançamento ou redirecionam os usuários para sites externos que hospedam arquivos infectados. Após enganar com sucesso os jogadores para baixar o jogo carregado, eles roubam dados pessoais, jogos ou credenciais de carteiras de criptomoedas. 

Em sua declaração, Hryb pediu aos desenvolvedores e usuários que sempre atualizassem seus sistemas operacionais, habilitassem atualizações automáticas e usassem software antivírus confiável. Ele também disse que a segurança é uma “responsabilidade compartilhada” nos jogos porque milhões de usuários interagem com aplicativos alimentados pela Unity no dia a dia.