TLDR:
- Kaspersky выявил десятки вредоносных пакетов Wallpaper Engine с тысячами установок в Steam.
- Инфостилеры Lumma и Vidar были развернуты для сбора данных криптокошельков и учетных данных браузера.
- Вредоносное ПО было скрыто внутри защищенных паролем архивов или встроено непосредственно в загрузки обоев.
- ФБР ранее расследовало распространяемое через Steam вредоносное ПО в таких играх, как PirateFi и Tokenova.
Вредоносное ПО Wallpaper Engine распространяется через Steam Workshop, одну из самых надежных контентных платформ в гейминге.
Компания по кибербезопасности Kaspersky выявила десятки зараженных пакетов обоев, распространяемых через популярное приложение для живых обоев.
Вредоносные файлы крадут учетные данные Steam, перехватывают активные сессии и развертывают инфостилеры, нацеленные на данные криптокошельков.
Многие пакеты имели тысячи загрузок до обнаружения, с жертвами, зарегистрированными в Китае, России, Сингапуре, Германии и нескольких других странах.
Как злоумышленники вооружили доверенную платформу
Отчет Kaspersky, опубликованный в понедельник, показал, что злоумышленники использовали Steam Workshop для загрузки вредоносных пакетов Wallpaper Engine, замаскированных под анимированные обои рабочего стола.
Большинство использовали изображения женских персонажей в стиле аниме в качестве обложек, придавая им достоверный и привлекательный вид для геймеров.
Фактор доверия платформы обеспечил вредоносному ПО надежный канал распространения с минимальными препятствиями для потенциальных жертв.
Основная функция приложения стала вектором атаки. Wallpaper Engine позволяет запускать исполняемые программы непосредственно на компьютере с Windows, что злоумышленники использовали для развертывания вредоносных нагрузок под видом легитимного контента.
Kaspersky подтвердил, что выявил десятки зараженных пакетов обоев, доступных через Steam Workshop, многие из которых достигли тысяч или даже десятков тысяч загрузок.
Некоторые обои встраивали вредоносное ПО непосредственно в пакет загрузки. Другие скрывали нагрузки внутри защищенных паролем архивов, которые распаковывались незаметно после установки.
Один задокументированный случай 2025 года показал обои, запускавшие, казалось бы, функциональную настольную игру, в то время как в фоновом режиме тайно устанавливался бэкдор DarkKomet.
Исследователь Kaspersky Максим Стародубов обратил внимание на основную уязвимость, позволяющую эти атаки. «Доверенные платформы могут быть использованы для распространения вредоносного ПО: атаки основаны на доверии пользователей к контенту, размещенному в легитимных экосистемах», — сказал Стародубов.
«Хотя многие из вовлеченных семейств вредоносного ПО хорошо известны, механизм доставки позволяет злоумышленникам достигать большого числа потенциальных жертв через, казалось бы, безвредный контент».
Инфостилеры, кража криптовалюты и растущая проблема Steam
Среди наиболее опасных нагрузок были выявлены инфостилеры Lumma и Vidar, распространяемые вместе с загрузчиком RenEngine.
Эти семейства вредоносного ПО являются хорошо задокументированными инструментами для сбора учетных данных браузера, сохраненных паролей и информации о криптовалютных кошельках. Kaspersky также отметил, что активность, по-видимому, включала несколько злоумышленников, а не одну скоординированную группу.
Перехват учетных данных Steam был еще одним подтвержденным результатом. Злоумышленники захватывали активные токены сессий, что позволяло им получать доступ к учетным записям без необходимости ввода пароля.
Kaspersky объяснил, что «функция обоев на основе приложения позволяет запускать исполняемые программы непосредственно на компьютере пользователя с Windows, что позволяет злоумышленникам распространять вредоносное ПО под видом легитимного контента».
Эти результаты следуют задокументированной схеме инцидентов с вредоносным ПО, связанных со Steam. В июле 2025 года компания по кибербезопасности Prodaft сообщила, что игра Steam Early Access Chemia была скомпрометирована для распространения Hijack Loader, Fickle Stealer и Vidar Stealer.
Ранее ФБР объявило о расследованиях вредоносного ПО, обнаруженного в нескольких играх Steam, включая PirateFi, BlockBlasters и Tokenova.
Kaspersky посоветовал пользователям относиться к контенту Workshop как к потенциальным векторам угроз, независимо от количества загрузок. Высокое количество установок не подтверждает безопасность, так как вредоносные пакеты накапливали десятки тысяч загрузок до удаления.
Запись Вредоносное ПО Wallpaper Engine захватывает Steam Workshop для кражи данных криптокошельков впервые появилась на Blockonomi.