TLDR:
- Kaspersky đã xác định hàng chục gói Wallpaper Engine độc hại với hàng nghìn lượt cài đặt trên Steam.
- Phần mềm đánh cắp thông tin Lumma và Vidar được triển khai để thu thập dữ liệu ví tiền điện tử và thông tin đăng nhập trình duyệt.
- Phần mềm độc hại được ẩn trong các kho lưu trữ được bảo vệ bằng mật khẩu hoặc được đóng gói trực tiếp trong các bản tải xuống hình nền.
- FBI trước đây đã điều tra phần mềm độc hại phân phối qua Steam trên các tựa game bao gồm PirateFi và Tokenova.
Phần mềm độc hại Wallpaper Engine đang lan truyền qua Steam Workshop, một trong những nền tảng nội dung đáng tin cậy nhất của game thủ.
Công ty an ninh mạng Kaspersky đã xác định hàng chục gói hình nền bị nhiễm độc được phân phối qua ứng dụng hình nền động phổ biến.
Các tệp độc hại đánh cắp thông tin đăng nhập Steam, chiếm quyền các phiên hoạt động và triển khai phần mềm đánh cắp thông tin nhắm vào dữ liệu ví tiền điện tử.
Nhiều gói đã có hàng nghìn lượt tải xuống trước khi bị phát hiện, với nạn nhân được báo cáo trên khắp Trung Quốc, Nga, Singapore, Đức và một số quốc gia khác.
Cách Kẻ Tấn Công Vũ Khí Hóa Một Nền Tảng Đáng Tin Cậy
Báo cáo của Kaspersky, được công bố hôm thứ Hai, tiết lộ rằng các tác nhân đe dọa đã khai thác Steam Workshop để tải lên các gói Wallpaper Engine độc hại được ngụy trang dưới dạng hình nền máy tính hoạt hình.
Hầu hết đều sử dụng hình ảnh nhân vật nữ theo phong cách anime làm ảnh bìa, tạo vẻ ngoài đáng tin cậy và hấp dẫn đối với game thủ.
Yếu tố tin cậy của nền tảng đã cung cấp cho phần mềm độc hại một kênh phân phối đáng tin cậy với ít rào cản cho các nạn nhân tiềm năng.
Tính năng cốt lõi của ứng dụng đã trở thành vectơ tấn công. Wallpaper Engine cho phép các chương trình thực thi chạy trực tiếp trên máy Windows, điều mà kẻ tấn công đã lợi dụng để triển khai các tải trọng độc hại dưới vỏ bọc nội dung hợp pháp.
Kaspersky xác nhận đã xác định hàng chục gói hình nền bị nhiễm độc có sẵn qua Steam Workshop, với nhiều gói đạt hàng nghìn hoặc thậm chí hàng chục nghìn lượt tải xuống.
Một số hình nền đóng gói phần mềm độc hại trực tiếp trong gói tải xuống. Những hình nền khác che giấu tải trọng bên trong các kho lưu trữ được bảo vệ bằng mật khẩu, tự động giải nén sau khi cài đặt.
Một trường hợp được ghi nhận vào năm 2025 cho thấy một hình nền khởi chạy thứ trông giống như một trò chơi máy tính chức năng trong khi bí mật cài đặt backdoor DarkKomet ở chế độ nền.
Nhà nghiên cứu Maxim Starodubov của Kaspersky đã đề cập đến lỗ hổng cốt lõi cho phép các cuộc tấn công này. “Các nền tảng đáng tin cậy có thể bị lạm dụng để phân phối phần mềm độc hại: Các cuộc tấn công dựa vào việc người dùng tin tưởng nội dung được lưu trữ trong các hệ sinh thái hợp pháp,” Starodubov nói.
“Mặc dù nhiều họ phần mềm độc hại liên quan đã được biết đến, nhưng cơ chế phân phối cho phép kẻ tấn công tiếp cận số lượng lớn nạn nhân tiềm năng thông qua nội dung có vẻ vô hại.”
Phần Mềm Đánh Cắp Thông Tin, Trộm Tiền Điện Tử và Vấn Đề Steam Ngày Càng Gia Tăng
Trong số các tải trọng nguy hiểm nhất được xác định có Lumma và Vidar infostealers, được phân phối cùng với trình tải RenEngine.
Các họ phần mềm độc hại này là công cụ nổi tiếng để thu thập thông tin đăng nhập trình duyệt, mật khẩu đã lưu và thông tin ví tiền điện tử. Kaspersky cũng lưu ý rằng hoạt động này dường như liên quan đến nhiều tác nhân đe dọa thay vì một nhóm phối hợp duy nhất.
Chiếm quyền thông tin đăng nhập Steam là một kết quả khác đã được xác nhận. Kẻ tấn công đã thu thập các token phiên hoạt động, cho phép chúng truy cập tài khoản mà không cần mật khẩu.
Kaspersky giải thích rằng “tính năng hình nền dựa trên ứng dụng cho phép các chương trình thực thi chạy trực tiếp trên máy tính Windows của người dùng, cho phép kẻ tấn công phân phối phần mềm độc hại dưới vỏ bọc nội dung hợp pháp.”
Các phát hiện này theo sau một mô hình đã được ghi nhận về các sự cố phần mềm độc hại liên quan đến Steam. Vào tháng 7 năm 2025, công ty an ninh mạng Prodaft đã báo cáo rằng tựa game Steam Early Access Chemia đã bị xâm phạm để phân phối Hijack Loader, Fickle Stealer và Vidar Stealer.
Trước đó, FBI đã công bố các cuộc điều tra về phần mềm độc hại được tìm thấy trên một số tựa game Steam, bao gồm PirateFi, BlockBlasters và Tokenova.
Kaspersky khuyên người dùng nên coi nội dung Workshop là vectơ đe dọa tiềm ẩn bất kể số lượt tải xuống. Số lượt cài đặt cao không xác nhận tính an toàn, vì các gói độc hại đã tích lũy hàng chục nghìn lượt tải xuống trước khi bị gỡ bỏ.
Bài viết Phần mềm độc hại Wallpaper Engine chiếm quyền Steam Workshop để đánh cắp dữ liệu ví tiền điện tử xuất hiện đầu tiên trên Blockonomi.