Lạm dụng Steam Workshop để phát tán mã độc qua Wallpaper Engine
"Threat actors abused Steam Workshop and the Wallpaper Engine application to distribute malicious wallpaper packages that executed malware on installation. Kaspersky reported dozens of infected wallpapers since at least late 2025, with payloads including DarkKomet backdoors, Steam credential theft via a modified DLL, infostealers such as Lumma and Vidar, cryptominers, botnet loaders, and ransomware; Valve removed the identified items, and users are advised to scan Workshop downloads with updated antivirus software."
Tấn công lợi dụng cơ chế “application wallpapers” để thực thi mã độc khi cài đặt, có thể dẫn tới chiếm đoạt tài khoản Steam và cài backdoor/cryptominer.
Nguy cơ gián đoạn do nhiễm mã độc và rò rỉ dữ liệu tài khoản có thể ảnh hưởng đến người dùng cuối; chi phí xử lý tăng khi cần quét lại thiết bị và hỗ trợ khôi phục tài khoản.
Các tác nhân đe doạ đang lạm dụng Steam Workshop để phân phối gói wallpaper độc hại thông qua ứng dụng Wallpaper Engine. Khi người dùng cài đặt wallpaper, mã độc có thể được kích hoạt ngay lập tức, dẫn đến nhiều hậu quả như chiếm quyền tài khoản Steam, cài backdoor, hoặc chạy cryptomining trên máy nạn nhân.
Wallpaper Engine trên Steam hỗ trợ nhiều loại nội dung, trong đó có “application wallpapers” — các cửa sổ ứng dụng đang chạy được dùng làm hình nền. Kaspersky cảnh báo tính năng này tạo ra rủi ro bảo mật vì có thể bị lợi dụng để đưa mã độc vào môi trường người dùng.
Theo Kaspersky, ít nhất từ cuối 2025, đã xuất hiện hàng chục wallpaper dạng application độc hại trên Steam Workshop, mỗi mục có thể đã được tải xuống từ hàng nghìn đến hàng chục nghìn lượt. Mã độc được nhúng trực tiếp trong gói hoặc nằm trong archive được mã hoá bằng mật khẩu mà người dùng bị dụ mở. Kết quả phân tích cho thấy có thể cài DarkKomet, triển khai thư viện tùy biến AggregatorHost.dll để tìm và đánh cắp thông tin tài khoản Steam, đồng thời có trường hợp liên quan Lumma/Vidar (infostealer), botnet loader, và ransomware.
Valve đã gỡ bỏ các mục bị phát hiện, nhưng rủi ro vẫn có thể tiếp diễn. Khuyến nghị: chỉ tải nội dung từ nguồn tin cậy, và quét toàn bộ tệp tải từ Steam Workshop bằng antivirus cập nhật trước khi cài đặt.