Wallpaper EngineのマルウェアがSteam Workshopを乗っ取り、暗号通貨ウォレットデータを盗む

TLDR:

• Kasperskyは、Steamで数千回インストールされた悪意のあるWallpaper Engineパッケージを数十個特定しました。
• LummaおよびVidarインフォスティーラーが展開され、暗号通貨ウォレットデータとブラウザ認証情報を収集しました。
• マルウェアはパスワード保護されたアーカイブ内に隠されるか、壁紙ダウンロードに直接バンドルされていました。
• FBIは以前、PirateFiやTokenovaなどのタイトルを含むSteam配布のマルウェアを調査しました。

---

Wallpaper Engineのマルウェアが、ゲームで最も信頼されているコンテンツプラットフォームの1つであるSteam Workshopを通じて拡散しています。

サイバーセキュリティ企業Kasperskyは、人気のライブ壁紙アプリケーションを介して配布された感染した壁紙パッケージを数十個特定しました。

悪意のあるファイルは、Steam認証情報を盗み、アクティブなセッションを乗っ取り、暗号通貨ウォレットデータを標的とするインフォスティーラーを展開します。

多くのパッケージは発見前に数千回ダウンロードされ、中国、ロシア、シンガポール、ドイツ、その他数カ国で被害者が報告されています。

攻撃者が信頼されたプラットフォームを武器化した方法

Kasperskyのレポートは月曜日に公開され、脅威アクターがSteam Workshopを悪用して、アニメーションのデスクトップ壁紙を装った悪意のあるWallpaper Engineパッケージをアップロードしたことを明らかにしました。

ほとんどはカバー画像としてアニメ風の女性キャラクターを使用し、ゲーマーに信頼性が高く魅力的な外見を与えていました。

プラットフォームの信頼性により、マルウェアは潜在的な被害者にとって摩擦の少ない信頼性の高い配信チャネルを得ました。

アプリケーションのコア機能が攻撃ベクトルになりました。Wallpaper Engineは実行可能プログラムをWindowsマシン上で直接実行できるため、攻撃者はこれを利用して、正当なコンテンツを装って悪意のあるペイロードを展開しました。

Kasperskyは、Steam Workshopで入手可能な感染した壁紙パッケージを数十個特定し、その多くが数千回、場合によっては数万回ダウンロードされたことを確認しました。

一部の壁紙はダウンロードパッケージ内にマルウェアを直接バンドルしていました。他のものは、インストール後にサイレントに展開されるパスワード保護されたアーカイブ内にペイロードを隠していました。

2025年の文書化された事例では、壁紙が機能するデスクトップゲームのように見せかけながら、バックグラウンドでDarkKometバックドアを密かにインストールしていました。

Kasperskyの研究者Maxim Starodubovは、これらの攻撃を可能にする中核的な脆弱性について言及しました。「信頼されたプラットフォームはマルウェアを配布するために悪用される可能性があります。攻撃は、ユーザーが正当なエコシステム内でホストされているコンテンツを信頼することに依存しています」とStarodubovは述べました。

「関与するマルウェアファミリーの多くはよく知られていますが、配信メカニズムにより、攻撃者は一見無害なコンテンツを通じて多数の潜在的な被害者にリーチできます。」

インフォスティーラー、暗号通貨窃盗、そして拡大するSteam問題

特定された最も危険なペイロードの中には、RenEngineローダーとともに配布されたLummaおよびVidarインフォスティーラーがありました。

これらのマルウェアファミリーは、ブラウザ認証情報、保存されたパスワード、暗号通貨ウォレット情報を収集するためのよく文書化されたツールです。Kasperskyはまた、この活動は単一の調整されたグループではなく、複数の脅威アクターが関与しているように見えると指摘しました。

Steam認証情報の乗っ取りも確認された結果の1つです。攻撃者はアクティブなセッショントークンをキャプチャし、パスワードを必要とせずにアカウントにアクセスできるようにしました。

Kasperskyは、「アプリケーションベースの壁紙機能により、実行可能プログラムがユーザーのWindowsコンピュータ上で直接実行できるため、攻撃者は正当なコンテンツを装って悪意のあるソフトウェアを配布できます」と説明しました。

これらの発見は、Steam関連のマルウェアインシデントの文書化されたパターンに続くものです。2025年7月、サイバーセキュリティ企業Prodaftは、Steam Early AccessタイトルChemiaが侵害され、Hijack Loader、Fickle Stealer、Vidar Stealerを配布したと報告しました。

以前、FBIはPirateFi、BlockBlasters、Tokenovaを含むいくつかのSteamタイトルで見つかったマルウェアの調査を発表しました。

Kasperskyは、ダウンロード数に関係なく、Workshopコンテンツを潜在的な脅威ベクトルとして扱うようユーザーにアドバイスしました。インストール数が多いからといって安全性が確認されるわけではなく、悪意のあるパッケージは削除前に数万回ダウンロードされていました。

この投稿はWallpaper Engine Malware Hijacks Steam Workshop to Steal Crypto Wallet Dataに最初に掲載され、Blockonomiに転載されました。