TLDR:
- Firma Kaspersky zidentyfikowała dziesiątki złośliwych pakietów Wallpaper Engine z tysiącami instalacji na Steam.
- Infostealery Lumma i Vidar zostały wdrożone w celu kradzieży danych portfeli kryptowalut i danych logowania do przeglądarek.
- Złośliwe oprogramowanie było ukryte w archiwach chronionych hasłem lub dołączone bezpośrednio do pobieranych tapet.
- FBI wcześniej badało złośliwe oprogramowanie dystrybuowane przez Steam w takich tytułach jak PirateFi i Tokenova.
Złośliwe oprogramowanie Wallpaper Engine rozprzestrzenia się przez Steam Workshop, jedną z najbardziej zaufanych platform treści dla graczy.
Firma zajmująca się cyberbezpieczeństwem Kaspersky zidentyfikowała dziesiątki zainfekowanych pakietów tapet dystrybuowanych za pośrednictwem popularnej aplikacji do animowanych tapet.
Złośliwe pliki kradną dane logowania do Steam, przejmują aktywne sesje i wdrażają infostealery atakujące dane portfeli kryptowalut.
Wiele pakietów miało tysiące pobrań przed wykryciem, a ofiary zgłoszono w Chinach, Rosji, Singapurze, Niemczech i kilku innych krajach.
Jak atakujący uzbroili zaufaną platformę
Raport Kaspersky opublikowany w poniedziałek ujawnił, że zagrożenia wykorzystały Steam Workshop do przesyłania złośliwych pakietów Wallpaper Engine przebranych za animowane tapety pulpitu.
Większość używała anime-style postaci kobiecych jako obrazów okładkowych, nadając im wiarygodny, atrakcyjny wygląd dla graczy.
Zaufanie do platformy dało złośliwemu oprogramowaniu niezawodny kanał dystrybucji z minimalnym tarciem dla potencjalnych ofiar.
Podstawowa funkcja aplikacji stała się wektorem ataku. Wallpaper Engine umożliwia uruchamianie programów wykonywalnych bezpośrednio na komputerze z systemem Windows, co atakujący wykorzystali do wdrażania złośliwych ładunków pod pozorem legalnych treści.
Kaspersky potwierdził, że zidentyfikował dziesiątki zainfekowanych pakietów tapet dostępnych w Steam Workshop, z których wiele osiągnęło tysiące, a nawet dziesiątki tysięcy pobrań.
Niektóre tapety zawierały złośliwe oprogramowanie bezpośrednio w pakiecie do pobrania. Inne ukrywały ładunki w archiwach chronionych hasłem, które rozpakowywały się po cichu po instalacji.
Udokumentowany przypadek z 2025 roku pokazał tapetę uruchamiającą pozornie działającą grę komputerową, podczas gdy w tle potajemnie instalowała backdoora DarkKomet.
Badacz Kaspersky Maxim Starodubov odniósł się do podstawowej podatności umożliwiającej te ataki. „Zaufane platformy mogą być nadużywane do dystrybucji złośliwego oprogramowania: Ataki polegają na tym, że użytkownicy ufają treściom hostowanym w legalnych ekosystemach” – powiedział Starodubov.
„Chociaż wiele z zaangażowanych rodzin złośliwego oprogramowania jest dobrze znanych, mechanizm dostarczania umożliwia atakującym dotarcie do dużej liczby potencjalnych ofiar za pomocą pozornie nieszkodliwych treści.”
Infostealery, kradzież kryptowalut i rosnący problem Steam
Wśród najbardziej niebezpiecznych ładunków zidentyfikowano infostealery Lumma i Vidar, dystrybuowane wraz z loaderem RenEngine.
Te rodziny złośliwego oprogramowania są dobrze udokumentowanymi narzędziami do zbierania danych logowania do przeglądarek, zapisanych haseł i informacji o portfelach kryptowalut. Kaspersky zauważył również, że aktywność wydawała się angażować wielu aktorów zagrożeń, a nie jedną skoordynowaną grupę.
Przejęcie danych logowania do Steam było kolejnym potwierdzonym skutkiem. Atakujący przechwytywali aktywne tokeny sesji, umożliwiając im dostęp do kont bez konieczności podawania hasła.
Kaspersky wyjaśnił, że „funkcja tapety oparta na aplikacji umożliwia uruchamianie programów wykonywalnych bezpośrednio na komputerze użytkownika z systemem Windows, pozwalając atakującym na dystrybucję złośliwego oprogramowania pod przykrywką legalnych treści.”
Wyniki te wpisują się w udokumentowany wzorzec incydentów związanych ze złośliwym oprogramowaniem na Steam. W lipcu 2025 roku firma zajmująca się cyberbezpieczeństwem Prodaft poinformowała, że tytuł Steam Early Access Chemia został skompromitowany w celu dystrybucji Hijack Loader, Fickle Stealer i Vidar Stealer.
Wcześniej FBI ogłosiło dochodzenia w sprawie złośliwego oprogramowania znalezionego w kilku tytułach Steam, w tym PirateFi, BlockBlasters i Tokenova.
Kaspersky zalecił użytkownikom traktowanie treści Workshop jako potencjalnych wektorów zagrożeń, niezależnie od liczby pobrań. Wysoka liczba instalacji nie potwierdza bezpieczeństwa, ponieważ złośliwe pakiety zgromadziły dziesiątki tysięcy pobrań przed usunięciem.
Post Złośliwe oprogramowanie Wallpaper Engine przejmuje Steam Workshop, aby kraść dane portfeli kryptowalut pojawił się najpierw na Blockonomi.