TLDR:
- Kaspersky виявив десятки шкідливих пакетів Wallpaper Engine з тисячами встановлень у Steam.
- Інфостилери Lumma та Vidar були розгорнуті для збору даних криптогаманців та облікових даних браузера.
- Шкідливе ПЗ було приховано в архівах, захищених паролем, або вбудовано безпосередньо в завантаження шпалер.
- ФБР раніше розслідувало шкідливе ПЗ, поширюване через Steam, у таких іграх, як PirateFi та Tokenova.
Шкідливе ПЗ Wallpaper Engine поширюється через Steam Workshop, одну з найбільш довірених платформ контенту в іграх.
Компанія з кібербезпеки Kaspersky виявила десятки заражених пакетів шпалер, поширюваних через популярний додаток для живих шпалер.
Шкідливі файли викрадають облікові дані Steam, перехоплюють активні сесії та розгортають інфостилери, націлені на дані криптогаманців.
Багато пакетів мали тисячі завантажень до виявлення, а жертви були зафіксовані в Китаї, Росії, Сінгапурі, Німеччині та кількох інших країнах.
Як зловмисники використали довірену платформу
Звіт Kaspersky, опублікований у понеділок, показав, що зловмисники використали Steam Workshop для завантаження шкідливих пакетів Wallpaper Engine, замаскованих під анімовані шпалери робочого столу.
Більшість використовували зображення жіночих персонажів в аніме-стилі як обкладинки, надаючи їм правдоподібного та привабливого вигляду для геймерів.
Фактор довіри платформи забезпечив шкідливому ПЗ надійний канал розповсюдження з мінімальними перешкодами для потенційних жертв.
Основна функція додатку стала вектором атаки. Wallpaper Engine дозволяє виконуваним програмам запускатися безпосередньо на комп'ютері з Windows, що зловмисники використали для розгортання шкідливих навантажень під виглядом легітимного контенту.
Kaspersky підтвердив, що виявив десятки заражених пакетів шпалер, доступних через Steam Workshop, багато з яких мали тисячі або навіть десятки тисяч завантажень.
Деякі шпалери вбудовували шкідливе ПЗ безпосередньо в пакет завантаження. Інші приховували навантаження в архівах, захищених паролем, які розпаковувалися безшумно після встановлення.
Один задокументований випадок 2025 року показав шпалери, які запускали те, що виглядало як функціональна настільна гра, таємно встановлюючи бекдор DarkKomet у фоновому режимі.
Дослідник Kaspersky Максим Стародубов звернув увагу на основну вразливість, що дозволяє ці атаки. «Довірені платформи можуть бути використані для розповсюдження шкідливого ПЗ: атаки покладаються на те, що користувачі довіряють контенту, розміщеному в легітимних екосистемах», — сказав Стародубов.
«Хоча багато з задіяних сімейств шкідливого ПЗ добре відомі, механізм доставки дозволяє зловмисникам досягати великої кількості потенційних жертв через, здавалося б, нешкідливий контент.»
Інфостилери, крадіжка криптовалюти та зростаюча проблема Steam
Серед найнебезпечніших виявлених навантажень були інфостилери Lumma та Vidar, поширювані разом із завантажувачем RenEngine.
Ці сімейства шкідливого ПЗ є добре задокументованими інструментами для збору облікових даних браузера, збережених паролів та інформації про криптовалютні гаманці. Kaspersky також зазначив, що активність, схоже, включала кілька зловмисників, а не одну скоординовану групу.
Викрадення облікових даних Steam було ще одним підтвердженим результатом. Зловмисники захоплювали активні токени сесії, що дозволяло їм отримувати доступ до облікових записів без необхідності вводити пароль.
Kaspersky пояснив, що «функція шпалер на основі додатку дозволяє виконуваним програмам запускатися безпосередньо на комп'ютері користувача з Windows, що дозволяє зловмисникам поширювати шкідливе програмне забезпечення під виглядом легітимного контенту.»
Ці висновки відповідають задокументованій схемі інцидентів зі шкідливим ПЗ, пов'язаним зі Steam. У липні 2025 року компанія з кібербезпеки Prodaft повідомила, що гра Chemia в ранньому доступі Steam була скомпрометована для розповсюдження Hijack Loader, Fickle Stealer та Vidar Stealer.
Раніше ФБР оголосило про розслідування шкідливого ПЗ, виявленого в кількох іграх Steam, включаючи PirateFi, BlockBlasters та Tokenova.
Kaspersky радить користувачам ставитися до контенту Workshop як до потенційних векторів загрози, незалежно від кількості завантажень. Велика кількість встановлень не підтверджує безпеку, оскільки шкідливі пакети накопичували десятки тисяч завантажень до видалення.
Публікація Wallpaper Engine Malware Hijacks Steam Workshop to Steal Crypto Wallet Data вперше з'явилася на Blockonomi.