[蔚藍] 小雪之亂原因推測及可能要注意的事

[chejps3105 (氋氃)]

更新一下，根據最新公告這篇的推測幾乎完全命中，非常有參考價值


在看韓國wiki看到的相關資訊，感謝chatgpt我完全沒學過韓文也能翻譯，搬運給大家
https://bbs.ruliweb.com/community/board/300143/read/72123507

事件概述：

1. 攻擊者入侵了 CloudFront 的 CDN 伺服器（d2vaidpni345rp.cloudfront.net），
並將《碧藍檔案》的伺服器位址：
   原本是：https://nxm-ios-bagl.nexon.com:5100/api/

   替換為：http://45.94.31.77:5100/（一個位於荷蘭的伺服器）

   被替換後的這個伺服器，處理了除了帳號 SDK 認證以外的所有遊戲資料。

---

2. 最早的舉報時間是 9點07分45秒。
   因為荷蘭伺服器對韓國玩家來說延遲超過1000ms，理論上不可能不被察覺。
   但在此之前完全沒有出現「延遲」相關的討論，這篇舉報算是第一篇相關貼文。

   在 9點06分50秒時，就有玩家回報疑似 MITM 攻擊造成的異常現象。

   雖然直到9點30分左右才開始出現「延遲」的回報，但這更可能代表：

   攻擊是從晚上9點左右才開始了，不是在長期秘密竊取資料。

---

3. 官方維護時間是晚上 10點26分。

---

4. 根據推測，這台 CDN 所影響的客戶端包含：

   * Google Play 商店的 15歲/19歲版本
   * Galaxy Store 的 19歲版本
   * iOS 的 19歲版本

---

總結：

1. CDN伺服器被入侵，導致晚上9點～10點26分之間，《碧藍檔案》的所有遊戲資料（封
包）都被轉送到攻擊者位於荷蘭的伺服器。

2. 因為《碧藍檔案》的封包可以被解密，攻擊者可能透過中間人攻擊保存了所有封包內
容。雖然攻擊者可能掌握這些資料，但只要Nexon重新初始化用戶的認證憑證（Token），
基本上可以避免後續風險。

3. 因為是從荷蘭連線，就算是中間人攻擊也會導致明顯的延遲，這讓玩家立刻察覺異常
，再加上舉報貼文一出，攻擊就被迫中止。而且從攻擊手法來看，使用了裸露的 HTTP 協
議、解密了封包，但卻是貼在論壇上，感覺不像是嚴肅的攻擊行動，反而像是惡搞或炫耀
。

4. 所以，只要不是在那段時間內進行付款操作的玩家，基本上不用太擔心。

---

(上面的時間是韓國時間)
簡單來說就是駭客明明能假裝沒事讓遊戲正常進行默默偷資料，但他卻在駭入後不久就搞
出小雪之亂，應該是樂子人而已，加上封包沒有帳密資訊，對資料外洩應該不用太擔心

但是當時有課金的仍要小心一點，注意一下信用卡之後有沒有被盜刷。當時有沒有課金應
該很好分辨，當下課金應該會失敗，這是當時韓國有人刷卡失敗的回報
https://arca.live/b/bluearchive/146679695

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 101.8.29.220 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1756730440.A.1FC.html
※ 編輯: chejps3105 (101.8.29.220 臺灣), 09/01/2025 20:42:06
※ 編輯: chejps3105 (101.8.29.220 臺灣), 09/01/2025 20:42:27
推 CactusFlower: 裡裡外外都完全是小雪行為 笑死
→ CactusFlower: 好吧小雪可能會順便ㄎㄧㄤ一點錢啦
推 super0949: AWS又是你 你好爛
→ chejps3105: 你怎麼知道這個駭客沒ㄎㄧㄤ錢，有人課金他可以知道
→ chejps3105: 刷卡資訊
推 starsheep013: 小雪本人也會偷錢啊
→ graywater: 國際服這期卡池會特別課的人不會多吧，除非他這次當小
→ graywater: 雪測試一下，但下次哈蜜瓜雙子卡池就來認真的了
推 Lisanity: https://i.imgur.com/L1mG9yW.jpeg
推 Rain0224: 而且會用小雪惡搞，至少這攻擊的駭客中有人對檔案是有相
→ Rain0224: 當程度的了解
→ graywater: 還知道昨天是初音生日
推 billkingFH: 難怪當時登入一般大廳就卡到爆，不過真的是樂子人欸
推 vhik4596: 敢在遊戲明顯有問題的情況下課金，也太勇敢
推 NozoxEli: 這攻擊對玩家資料沒造成影響，基本只影響到登入獎勵，
→ NozoxEli: 估計是愉悅犯
推 Andyet04: 那可以期待明年會不會再來一次
→ FSHAY: 如果是找樂子的話，那也可能是因為金P的50歲生日
推 Alexander1: 點開來看到那個寬臉小雪還儲值也太勇了吧w
→ mapulcatt: 看駭客是白的還黑的吧 白的惡作劇大概沒事
→ mapulcatt: 黑的可能就順便幹一點資料走
推 air1007: 小雪增值後我才登入的，我去開學生還有戰鬥是正常的，如
→ air1007: 果api被替換根本玩家資料根本對不上吧，代表有部分資料
→ air1007: 其實是正常運作的，除非檔案不同功能的db有分散不然這說
→ air1007: 詞感覺怪怪的
→ mapulcatt: 不過還會順便幫咪哭慶生的駭客我想是沒問題才對(?
推 d6102003: 等一下  我還以為是在玩梗欸  原來是真的出事嗎
→ TUTOTO: 就中間人攻擊吧
→ spfy: 原來CF的CDN這麼好攻的嗎...?
推 away612101: 是伺服器好攻還是單蠢管理帳號洩漏？
→ away612101: 照這種說法，用到CDN的服務一堆
→ away612101: 使用者隨時都會被導去中間人欸…
→ away612101: CF都不用表態些什麼嗎？
→ graywater: 那個被鎖定的小雪頻道有簡單說明一下
→ graywater: https://youtu.be/FZas48IOx48?si=Ft_DJ6GOf007lcXY
※ 編輯: chejps3105 (101.8.29.220 臺灣), 09/01/2025 23:54:38
推 inte629l: 推整理
推 feedingdream: 是說Miku增值是原本的活動嗎？
推 WindSucker: ba比aws更可能有問題
推 fmp1234: 原來如此