Текст опубликован в личном блоге и его автор не имеет отношения к администрации сайта
Специалисты по информационной безопасности компании «Лаборатория Касперского» зафиксировали масштабную кампанию по распространению вредоносного программного обеспечения через сервис пользовательского контента Steam Workshop. Инструментом доставки являются модифицированные пакеты для приложения Wallpaper Engine, предназначенного для создания и использования анимированных изображений рабочего стола. Главной целью атакующих является перехват сессий в учетных записях Steam, кража личной информации пользователей и скрытая установка стороннего ПО.
Основной вектор атаки базируется на эксплуатации легитимной функции Wallpaper Engine, позволяющей загружать и запускать «обои-приложения». В отличие от стандартных графических форматов, такие обои представляют собой полноценные исполняемые файлы операционной системы Windows. Злоумышленники используют эту архитектурную особенность для маскировки вредоносного кода.
Анализ выявил два базовых метода внедрения. В первом случае исполняемые файлы (EXE), динамические библиотеки (DLL) и скрипты помещаются непосредственно в пакет обоев. Во втором варианте полезная нагрузка скрывается внутри защищенных паролем архивов. Пароли для их распаковки прописываются в конфигурационных файлах пакета. Данная структура позволяет обходить автоматические системы проверки контента на наличие вирусов перед публикацией в каталоге.
Согласно официальному отчету Касперского, инфраструктура заражения функционирует как минимум с конца 2025 года. Процесс компрометации устройства происходит в фоновом режиме. После активации зараженного графического пакета на компьютер скрыто устанавливается бэкдор из семейства DarkKomet. Затем программа разворачивает модифицированную системную библиотеку, которая сканирует устройство на предмет активных сессий платформы Steam. Перехват сессии дает атакующим полный доступ к профилю без ввода логина и пароля.
Скомпрометированные учетные записи впоследствии применяются для публикации новых зараженных файлов в Steam Workshop, что обеспечивает автономное масштабирование атаки. Помимо инструментов для кражи профилей, в различных пакетах эксперты зафиксировали наличие инфостилеров Lumma и Vidar, программ-вымогателей, а также модулей для скрытого майнинга криптовалют.
Статистика скачиваний демонстрирует высокую эффективность данного вредоносного метода. В некоторых случаях специалисты зафиксировали от нескольких тысяч до десятков тысяч загрузок обоев до момента их выявления. По географическому распределению основной процент заражений приходится на пользователей из Китая и России. В списке затронутых регионов также присутствуют Германия, Сингапур, Гонконг, Вьетнам, Индия и Канада.
К настоящему времени администрация платформы Steam удалила идентифицированные опасные объекты из открытого доступа. Загруженные файлы автоматически стираются с накопителей пользователей при синхронизации клиента. Аналитики предполагают, что за реализацией данных инцидентов стоят несколько независимых киберпреступных группировок, использующих общую уязвимость инфраструктуры пользовательских модификаций.