玩家注意：Steam恶意壁纸被发现窃取账户

# Steam 创意工坊发现数十款恶意壁纸：玩家账号面临风险 来源：https://securelist.com/dozens-of-malicious-wallpapers-found-on-steam-workshop/120186/ 自 2025 年底以来，恶意软件通过 Steam 创意工坊（该游戏平台内置的玩家创建和分享自定义内容服务）迅速传播。攻击者主要针对中国和俄罗斯的玩家，试图劫持他们的账号。为此，他们利用了 Wallpaper Engine——一款在 Steam 上很受欢迎的动态壁纸应用——特别是其中的创意工坊分享功能。恶意软件隐藏在用户互相分享的壁纸包中。运行这些被篡改的壁纸之一，可能导致 Steam 账号被盗，或者让受害者的系统感染后门或加密货币挖矿程序。 ## 什么是 Wallpaper Engine？ Wallpaper Engine 是一款能让您在桌面上使用动态壁纸的应用。它提供 Windows 和 Android 版本，不过我们的调查严格专注于 Windows 版本。凭借庞大的 Steam 社区，这款应用相当受欢迎 (https://steamdb.info/app/431960/)，拥有约 10 万日活跃用户和近百万条评测。它内置了编辑器，用户可以创作自己的设计，并支持几种不同的壁纸类型： - 视频：MP4、WebM 及其他常见视频格式 - 场景：在应用内编辑器中构建的交互式壁纸 - 网页：由 JavaScript 和 CSS 驱动的 HTML 页面，也可包含音视频元素 - 应用程序：来自第三方 Windows 兼容软件的活跃窗口，Wallpaper Engine 将其设置为用户的桌面背景 最后一种类型——应用程序壁纸——正是风险所在，因为它们本质上是独立程序。它们可以是直接在桌面上运行的小游戏、计划表、日历、系统监视器，或者跟踪 CPU/GPU 使用率的小工具。 ## 应用程序壁纸：内置的安全风险 “应用程序壁纸”的整个概念本质上是允许外来代码直接在您的计算机上运行。网络犯罪分子注意到了这一特性，并开始将恶意软件直接嵌入这些壁纸中。由于 Wallpaper Engine 依赖 Steam 创意工坊进行内容分享，任何人都可以创建壁纸并将其发布供社区免费下载和安装。自然，这种设置对不法分子极具吸引力。 我们在 Steam 创意工坊中发现了数十个此类恶意应用程序壁纸，每个壁纸都已被下载数千次甚至数万次。 在分析它们时，我们发现攻击者使用了两种不同的恶意软件传播方式： - 一个包含可执行壁纸及恶意文件的压缩包。该有效载荷通常由被篡改的 EXE 文件、DLL 或恶意脚本组成。 - 在其他情况下，攻击者通过将恶意软件隐藏在受密码保护的压缩包中来制造意外。要么受害者被诱骗输入密码，要么由脚本自动处理。攻击者将密码隐藏在显眼位置——要么就在压缩包文件名中，要么在随其他壁纸文件一起安装的 JSON 配置中。对于所有其他变体，当用户选择并应用壁纸时，有效载荷会自动触发。 ## 感染的游戏壁纸内部 壁纸应用主界面 (https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2026/06/13194426/dozens-of-malicious-wallpapers18.png) 壁纸应用主界面 表面上看，我们于 2025 年 12 月发现的这个壁纸样本（上图）看起来完全无害。启动后，绝对没有任何会引起您怀疑的迹象。内置游戏完美启动、流畅运行，桌面控件也完全正常工作。但在幕后，一场全面的感染正在进行。短短几分钟内，用户可能突然发现自己的 Steam 账号被劫持，或者计算机被恶意软件瘫痪，文件被勒索软件加密，又或者因隐藏的加密货币挖矿程序导致系统性能急剧下降。 恶意软件如何部署 (https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2026/06/13194513/dozens-of-malicious-wallpapers19.png) 恶意软件如何部署 游戏壁纸启动后，它会将名为 `Synaptics.exe` 的后门文件（属于 DarkKomet (https://threats.kaspersky.com/en/threat/Backdoor.Win32.DarkKomet/) 恶意软件家族）直接放入受害者系统。同时，一个名为 `._cache_GAME1.exe` 的可执行文件启动，以启动实际游戏 NTRaholic。 但 `._cache_GAME1.exe` 模块还肩负双重任务。它同时安装一个自定义版本的系统库 AggregatorHost.dll，其中包含有效载荷。这个被修改的库有一个主要目标：在计算机上追踪 Steam 应用并寻找账号凭证。 寻找 Steam 应用 (https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2026/06/13194544/dozens-of-malicious-wallpapers20.png) 寻找 Steam 应用 接下来，被修改的库劫持用户的实时 Steam 会话。 劫持 Steam 会话 (https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2026/06/13194614/dozens-of-malicious-wallpapers21.png) 劫持 Steam 会话 之后，被入侵的 AggregatorHost.dll 将所有收集的数据发送到黑客控制的服务器 `hxxp://120.48.156[.]17/ey.php`。一旦攻击者控制了该活跃会话，他们就可以利用受害者的账号向 Steam 创意工坊上传更多恶意壁纸。 ## **归属与受害者** 上述游戏壁纸只是我们研究中发现的众多变种中的一种。通过将应用程序壁纸功能武器化，不法分子成功分发了几乎所有类型的恶意软件——从流行的信息窃取者和后门，到加密货币挖矿程序和僵尸网络加载器。 由于所使用的工具种类繁多，我们怀疑这并非单个幕后黑手的作品。相反，看起来是多个分散的、独立的黑客组织都在利用同一趋势。目前，主要目标是中国的玩家。壁纸的艺术风格和标题都专门针对他们设计，数据也证实了这一点：我们的安全系统捕捉到了高达 89% 的恶意下载尝试发生在中国。然而，这些攻击者完全有可能转向并在世界其他任何地方发起类似活动。俄罗斯在总下载量中排名第二，占 5.5%，其次是其他一些国家和地区：新加坡（1.4%）、香港（0.9%）、德国（0.9%）、越南（0.9%）、印度（0.5%）和加拿大（0.5%）。 [](https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2026/06/13194744/dozens-of-malicious-wallpapers22.png) 按区域划分的恶意应用程序壁纸下载量 ## 如何保持安全 我们的调查证明，即使是像 Steam 创意工坊这样受信任的平台，也并非完全免受恶意软件侵害。在大多数情况下，我们发现了旧有的、熟悉的威胁，例如 DarkKomet (https://threats.kaspersky.com/en/threat/Backdoor.Win32.DarkKomet/)、Lumma (https://securelist.com/lumma-fake-captcha-attacks-analysis/116274/) 和 Vidar (https://securelist.com/how-to-steal-a-million-of-your-data/91855/) 信息窃取程序，以及 RenEngine (https://securelist.com/renengine-campaign-with-hijackloader-lumma-and-acr-stealer/118891/) 加载器。卡巴斯基解决方案可以轻松发现并阻止所有这些有效载荷，无论包装多么巧妙，这要归功于我们的主动安全层。以下是我们在研究中发现的对象所分配的部分特定威胁检测结果： - HEUR:Trojan-PSW.Win32.gen - HEUR:Trojan-PSW.Win32.Python.gen - HEUR:Backdoor.Win32.DarkKomet - Trojan-Dropper.Python.Agent - HEUR:Trojan-Ransom.Win32.Gen.gen - PDM:Trojan.Win32.Generic. 在此文发布时，Steam 团队已从平台清除了已识别的恶意壁纸和链接。然而，鉴于新的受感染壁纸在 Steam 创意工坊中频繁出现，您不应指望 Steam 能捕捉所有内容。强烈建议在应用此类壁纸之前，先对其进行防病毒扫描。 ## 入侵指标 **MD5** - 95856f2ce428c728d9781d3296558068 (https://opentip.kaspersky.com/95856f2ce428c728d9781d3296558068/results?icid=gl_sl_post-opentip_sm-team_6da78accc34c5ef0&utm_source=SL&utm_medium=SL&utm_campaign=SL) - af080780cca2acd1d082ce01e7cc346a (https://opentip.kaspersky.com/af080780cca2acd1d082ce01e7cc346a/results?icid=gl_sl_post-opentip_sm-team_46d91d76d92d063c&utm_source=SL&utm_medium=SL&utm_campaign=SL) - c133c3dd9f7d6934598025047df41abf (https://opentip.kaspersky.com/c133c3dd9f7d6934598025047df41abf/results?icid=gl_sl_post-opentip_sm-team_a52687e911994dbe&utm_source=SL&utm_medium=SL&utm_campaign=SL) - d1693bbff456ae8fa3360446706df6da (https://opentip.kaspersky.com/d1693bbff456ae8fa3360446706df6da/results?icid=gl_sl_post-opentip_sm-team_e3257586c1eee98d&utm_source=SL&utm_medium=SL&utm_campaign=SL) - 8c2cc585ad8a13a72a704c0fda0c9854 (https://opentip.kaspersky.com/8c2cc585ad8a13a72a704c0fda0c9854/results?icid=gl_sl_post-opentip_sm-team_b008fe03cd6daa0a&utm_source=SL&utm_medium=SL&utm_campaign=SL) - b9fa763a53da3eea742d0f3c845a8c09 (https://opentip.kaspersky.com/b9fa763a53da3eea742d0f3c845a8c09/results?icid=gl_sl_post-opentip_sm-team_4641556e4beec50c&utm_source=SL&utm_medium=SL&utm_campaign=SL) - ded08ae5df7f1b12e5fdb767dbbed0b1 (https://opentip.kaspersky.com/ded08ae5df7f1b12e5fdb767dbbed0b1/results?icid=gl_sl_post-opentip_sm-team_7a150706aa119629&utm_source=SL&utm_medium=SL&utm_campaign=SL) - 20965254e29104986e11939decd39549 (https://opentip.kaspersky.com/20965254e29104986e11939decd39549/results?icid=gl_sl_post-opentip_sm-team_6c3e4d47a4530299&utm_source=SL&utm_medium=SL&utm_campaign=SL) - 18dedc0009f0927cba6425c84cce9883 (https://opentip.kaspersky.com/18dedc0009f0927cba6425c84cce9883/results?icid=gl_sl_post-opentip_sm-team_204a2c988ffd73eb&utm_source=SL&utm_medium=SL&utm_campaign=SL) - 0f4f01c6d495abb37403072dd017ce8d (https://opentip.kaspersky.com/0f4f01c6d495abb37403072dd017ce8d/results?icid=gl_sl_post-opentip_sm-team_48b037a80adcaac9&utm_source=SL&utm_medium=SL&utm_campaign=SL) - 5620f01284329f561b1839a36be55355 (https://opentip.kaspersky.com/5620f01284329f561b1839a36be55355/results?icid=gl_sl_post-opentip_sm-team_21da068a06750063&utm_source=SL&utm_medium=SL&utm_campaign=SL) - fe1f6485013cd5e6d5cf718049b0b8d6 (https://opentip.kaspersky.com/fe1f6485013cd5e6d5cf718049b0b8d6/results?icid=gl_sl_post-opentip_sm-team_14d28499acbe9b39&utm_source=SL&utm_medium=SL&utm_campaign=SL) - 74414ed4b63aadec039b603c32762b80 (https://opentip.kaspersky.com/74414ed4b63aadec039b603c32762b80/results?icid=gl_sl_post-opentip_sm-team_ca667d5886d0bd5b&utm_source=SL&utm_medium=SL&utm_campaign=SL) **C2 服务器** - [http://202.144.192[.]29](https://opentip.kaspersky.com/http%3a%2f%2f202.144.192.29%2f/results?icid=gl_sl_post-opentip_sm-team_29aaeaeaaa81d6b0&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [http://202.144.192[.]29/audit.php](https://opentip.kaspersky.com/http%3a%2f%2f202.144.192.29%2faudit.php/results?icid=gl_sl_post-opentip_sm-team_f0cd348a1da1f1ec&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [http://202.144.192[.]29/download2/Themes2.zip](https://opentip.kaspersky.com/http%3a%2f%2f202.144.192.29%2fdownload2%2fthemes2.zip/results?icid=gl_sl_post-opentip_sm-team_9f2ed46eafe93d84&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [http://120.48.156[.]17](https://opentip.kaspersky.com/http%3a%2f%2f120.48.156.17%2f/results?icid=gl_sl_post-opentip_sm-team_54be0cf425b81fc2&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [http://120.48.156[.]17/ey.php?ka=user1&id](https://opentip.kaspersky.com/http%3a%2f%2f120.48.156.17%2fey.php%3fka%3duser1%26id/results?icid=gl_sl_post-opentip_sm-team_7478242add63e875&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [http://brightly[.]to](https://opentip.kaspersky.com/http%3a%2f%2fbrightly.to%2f/results?icid=gl_sl_post-opentip_sm-team_b14f9f5490a3222e&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [http://brightly[.]to/download2/Themes2.zip](https://opentip.kaspersky.com/http%3a%2f%2fbrightly.to%2fdownload2%2fthemes2.zip/results?icid=gl_sl_post-opentip_sm-team_5cd195d4581bee7d&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [https://www.dropbox[.]com/s/zhp1b06imehwylq/Synaptics.rar?dl=1](https://opentip.kaspersky.com/https%3a%2f%2fwww.dropbox.com%2fs%2fzhp1b06imehwylq%2fsynaptics.rar%3fdl%3d1/results?icid=gl_sl_post-opentip_sm-team_6809624df85ed71b&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [https://docs.google[.]com/uc?id=0BxsMXGfPIZfSVzUyaHFYVkQxeFk&export=download](https://opentip.kaspersky.com/https%3a%2f%2fdocs.google.com%2fuc%3fid%3d0bxsmxgfpizfsvzuyahfyvkqxefk%26export%3ddownload/results?icid=gl_sl_post-opentip_sm-team_8d2523d039d1c0bb&utm_source=SL&utm_medium=SL&utm_campaign=SL) **恶意壁纸** - [https://steamcommunity[.]com/sharedfiles/filedetails/?id=3603213159](https://opentip.kaspersky.com/https%3a%2f%2fsteamcommunity.com%2fsharedfiles%2ffiledetails%2f%3fid%3d3603213159/results?icid=gl_sl_post-opentip_sm-team_88e29ff36335fdb1&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [https://steamcommunity[.]com/sharedfiles/filedetails/?id=3591930233](https://opentip.kaspersky.com/https%3a%2f%2fsteamcommunity.com%2fsharedfiles%2ffiledetails%2f%3fid%3d3591930233/results?icid=gl_sl_post-opentip_sm-team_5dcb8ee5c8cc56e9&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [https://steamcommunity[.]com/sharedfiles/filedetails/?id=3584318845](https://opentip.kaspersky.com/https%3a%2f%2fsteamcommunity.com%2fsharedfiles%2ffiledetails%2f%3fid%3d3584318845/results?icid=gl_sl_post-opentip_sm-team_153d1e3e74ac7462&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [https://steamcommunity[.]com/sharedfiles/filedetails/?id=3436875036](https://opentip.kaspersky.com/https%3a%2f%2fsteamcommunity.com%2fsharedfiles%2ffiledetails%2f%3fid%3d3436875036/results?icid=gl_sl_post-opentip_sm-team_291153daf9011d2f&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [https://steamcommunity[.]com/sharedfiles/filedetails/?id=3633494498](https://opentip.kaspersky.com/https%3a%2f%2fsteamcommunity.com%2fsharedfiles%2ffiledetails%2f%3fid%3d3633494498/results?icid=gl_sl_post-opentip_sm-team_925a148e180741ac&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [https://steamcommunity[.]com/sharedfiles/filedetails/?id=3556591375](https://opentip.kaspersky.com/https%3a%2f%2fsteamcommunity.com%2fsharedfiles%2ffiledetails%2f%3fid%3d3556591375/results?icid=gl_sl_post-opentip_sm-team_5b16fe20120117e8&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [https://steamcommunity[.]com/sharedfiles/filedetails/?id=3635875825](https://opentip.kaspersky.com/https%3a%2f%2fsteamcommunity.com%2fsharedfiles%2ffiledetails%2f%3fid%3d3635875825/results?icid=gl_sl_post-opentip_sm-team_a256baef5d50f7f7&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [https://steamcommunity[.]com/sharedfiles/filedetails/?id=3601924072](https://opentip.kaspersky.com/https%3a%2f%2fsteamcommunity.com%2fsharedfiles%2ffiledetails%2f%3fid%3d3601924072/results?icid=gl_sl_post-opentip_sm-team_d15aface203aa940&utm_source=SL&utm_medium=SL&utm_campaign=SL) - [https://steamcommunity[.]com/sharedfiles/filedetails/?id=3605588743](https://opentip.kaspersky.com/https%3a%2f%2fsteamcommunity.com%2fsharedfiles%2ffiledetails%2f%3fid%3d3605588743/results?icid=gl_sl_post-opentip_sm-team_171a9a6de4473ad4&utm_source=SL&utm_medium=SL&utm_campaign=SL)