Re: [閒聊] 逃離鴨科夫 惡性MOD事件

[XFarter (我來自施工的大學店裡)]

※ 引述《s9810456 (miner Steve)》之銘言：
: 如題
: 前陣子爆紅的鴨科夫也衍伸了很多mod
: http://i.imgur.com/KgUxzxq.jpg
: 其中的SCAV（塔科夫）模組算是較有知名度的
: 然而此模組作者是個神人
: 不但在創意工坊的發文、批評底下吵架
: http://i.imgur.com/7pcSeVx.jpg
: http://i.imgur.com/asZvPtr.jpg
: 近期甚至還在模組裡加入惡性代碼
: 讓被模組作者黑單的玩家
: 裝mod後進入遊戲會閃退
: http://i.imgur.com/E03Olig.jpg
: 被抓出來後還大言不慚不給玩只是小事
: 下次就要放彈窗或是病毒了
: http://i.imgur.com/iSsvVqn.jpg
: http://i.imgur.com/zlPWd3J.jpg
: 直接引起大量惡評與檢舉
: 結果鴨科夫的神人營運第一件事是各打50大板
: 要求貼吧（類巴哈的討論區）小版主去砍對
: SCAV作者不利的文章
: http://i.imgur.com/xAo0RAn.jpg
: http://i.imgur.com/OU1y8wB.jpg
: 並發文要求這些惡性玩家不要敗壞遊戲風氣
: http://i.imgur.com/1xJ2Rxb.jpg
: 然後用求的請模組作者刪除惡性代碼
: 甚至還送週邊給他
: 事件被該小版主洩露後反而導致更大的炎上
: 目前鬧到太大被官方下架MOD了
: http://i.imgur.com/zq70HVH.jpg

我幫補一些原原 PO 沒補足的資訊好了
原本想說忙裡偷閒推一推就算了
但好像講的不夠仔細+這不足以說明這件事的危險性

整個討論串的起火點，可以從百度的這邊開始找:

https://tieba.baidu.com/hottopic/browse/hottopic?topic_id=28347954&topic_name=%E9%B8%AD%E7%A7%91%E5%A4%ABmod%E6%8B%89%E9%BB%91%E7%8E%A9%E5%AE%B6%2C%E5%AE%98%E6%96%B9%E8%B7%AA%E6%B1%82%E8%A7%A3%E5%B0%81

(Shorted URL: https://reurl.cc/KO93Yy)

而目前看起來足夠充分的懶人包可以看下述這個:
https://tieba.baidu.com/p/10296402079?fid=

------------

簡單來說，Steam 工作坊本身沒有非常嚴謹的 Code Review 工作，
Steam 本身是不對 Mod 的品質、內容以及其帶來的資安風險做出任何保證的
這意味著隨著遊戲的性質，Mod 開發者其實可以注入任意資訊，
我雖然也不是資安專家，
但我猜能夠在使用者電腦注入必定會被執行的代碼本身就具有一定的風險
當然，Steam 本身也是也有一套自己的安全性檢查，不過這部份我沒有詳細研究其機制。

但今年九月就發生過免費遊戲直接注入惡性程式碼讓實況主直接被盜的事:

http://4gamers.com.tw/news/detail/40105/valve-admits-steam-security-flaw-mistake-after-banned-researcher-goes-public
(Shorted URL: https://reurl.cc/zK56aQ)

因此安全性檢查能不被抓到所有的漏洞是可預期的。

而這次的鴨克夫 SCAV 作者們，雖然這次主謀顯然是 Godkingkk，
不過根據百度吧友的爆料，SCAV 模組討論群中還有人對於有人爆料不滿，
還揚言會有更惡劣的注入行動，雖然不確定是口嗨還是真有其事:
https://tieba.baidu.com/p/10301104263

另，在 Steam 工作坊討論區已經有人警告大家哪些 Mods 不應該裝:

https://steamcommunity.com/workshop/discussions/18446744073709551615/686366256251568179/?appid=3167020&ctp=2
(Shorted URL: https://reurl.cc/vKL6Ry)
(Hint: 上述連結並沒有將所有 Godkingkk 的 Mods 加入進去，僅是二次懶人包)

只能說人心不古 點點點
不定期更新新的進展、也請其他版友幫忙補足新的消息
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.112.26.153 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1765784960.A.D9B.html
推 teddy12114: 我一直以為只要能在工作坊上架的MOD都是被認證安全的
→ teddy12114: 耶…怕
噓 Tkuers: 連結能不能貼好
推 s9810456: 感謝補充 貼吧也有看一些 但是手機沒app載圖很麻煩
推 james3510: 有風險可以理解 但事後處理一定要到位
→ james3510: 官方還護著mod作者的很離譜
推 fireleo: 你用縮網址的好了
→ zsp9081a: 同一樓，以前玩l4d2 全戰的時候mod灌得很開心
→ hh123yaya: 哥你用回文然後網址斷成這樣
→ XFarter: 怕縮網址久了會沒了 再麻煩@Tkuers 你自己手動貼一下
→ class21535: 連code review都不會還敢玩MOD阿！
→ spfy: 這我覺得已經超過MOD注入的層級 是遊戲團隊也支持這個行為
→ XFarter: 應該說 Steam 本來就還是有在加強自動化的資安工具
→ zsp9081a: 想說能夠在工作坊一鍵安裝的有一定安全保障
→ XFarter: 不然我補個縮網址版本好了 稍後
※ 編輯: XFarter (140.112.26.153 臺灣), 12/15/2025 15:59:51
推 vhik4596: 如果今天官方快速砍掉惡性mod作者，應該不會鬧這麼大
→ vhik4596: 但看起來官方還跑去跪舔惡性作者，這就出事了
→ vhik4596: 我原本也以為steam有自動掃描...（看向已載的那堆mod
→ spfy: 沒有吧 之前就滿多人討論過安全性 但因為時效也沒有真的很好
※ 編輯: XFarter (140.112.26.153 臺灣), 12/15/2025 16:04:24
→ spfy: 的解決方案 但搞不好現代可以導入AI review機制
→ class21535: 訂戶協議 要看阿 STEAM都直接寫免責了
→ class21535: 出事你家的事 STEAM頂多AI幫你掃一下
→ XFarter: 補完這件事背後更大可能的陰謀論了
→ XFarter: 只能說中國人賤人多 但真的有良知的人其實也不少
→ XFarter: 尤其是 Steam 這種極度依賴社群信賴的地方
推 elvaismylove: 說真的，只要幾個小白中標，才會知道什麼叫作不要無
→ elvaismylove: 腦載了
→ a12073311: 別說mod 之前連遊戲內都能偷渡了
→ a12073311: 仗著更新的審核比較鬆
推 apple00: 以前去三大媽抓的遊戲 繁中版基本都有木馬 點快速安裝連3
→ apple00: 60一併裝好
→ apple00: 不過也要感謝這些無底線的同胞 再也不敢抓免費的了
推 vitalis: steam頂多保程式廠商給的,裝mod跟外廠改車一樣後果自負
推 hayate65536: 這裡是不是很多人沒用過桌布引擎
→ iam0718: 樓上那個朋友就中過兩次 而且比較神奇的是 她都是其他玩
→ iam0718: 意被盜 像DC google帳   steam帳反而沒事
推 Nagoya0519: 以前GitHub中國人在開源程式的PR裡面塞後門的爛事本來
→ Nagoya0519: 就一堆 只能說是不意外 開源這概念本來就不適用於未開
→ Nagoya0519: 化地區
推 starsheep013: 那個網站名稱是能直接出來的嗎…
→ a36772004: 還好我都沒裝= =
→ iam0718: 光說抓應該就會死了
→ class21535: 3大媽已經轉正了 SAFE
→ class21535: 不過論壇還是黑的
推 s9810456: 桌布引擎在對岸是當作另類翻牆/資源庫在用的 那個架構導
→ s9810456: 致mod可以塞盜版遊戲、本子、片子等 想塞啥就塞啥 還不
→ s9810456: 容易被檢舉下架
推 yukiyg: 桌布引擎也是有點風險吧
→ XFarter: 桌布引擎風險一直都很大啊 但用戶通常不在意
→ cat05joy: 不開心就是桌布引擎亂分類的檢舉一波
推 ricky469rick: 問ChatGPT 他說steam會簡單掃描
→ ricky469rick: 所以中木馬應該是不會 但針對遊戲指令強制關閉steam
→ ricky469rick: 測不出來
→ XFarter: 實際上這一次惡性攻擊就是樓上所謂的「木馬 」 偽裝成合
→ XFarter: 法的工作坊東西可以讓你自動執行，skyline 遊戲在今年十
→ XFarter: 月就有過了
→ h75311418: 護惡性的mod 不行
推 ImaiLisa: 要用人家的mod還機機歪歪什麼
推 ruby080808: 應該說Steam有掃，但是不可能全部都抓的出來，畢竟確
→ ruby080808: 實也有類似事件發生過
→ XFarter: @lmailisa 你這邏輯就像是送你一份便當 在裡面加老鼠藥吃
→ XFarter: 的人也得感恩戴德一樣 邏輯有洞不用這樣講話讓大家知道==