警惕 Steam 盗号木马通过 Wallpaper Engine 传播

GreatMOLA

警惕 Steam 盗号木马通过 Wallpaper Engine 传播

最近网上冲浪时发现许多网友的 Steam 出现异地登陆，同时其中的游戏资产被损毁或变卖的情况。
经过了解，发现最近出现此情况的大多数网友都曾使用过 Wallpaper Engine 软件，而且下载了同一款排名靠前的动态壁纸。

据推测，此壁纸在被运行后会自动执行脚本，解压包含恶意恶意行为的木马文件。该文件会盗取 Steam 的登录凭据文件、扫描本地电子邮箱设置并设置邮件转发。

盗号者获取登录凭据后，会使用工具直接登录被盗取用户的Steam账号。如被盗取者Steam账号中存在有价值的游戏资产（如 CSGO 饰品），即会以极低的价格在Steam社区市场甩卖，此时 Steam 令牌的 2FA 功能将不起作用。（因为价格极低，没有满足 Steam 令牌二次验证的标准）

同时，盗号者设置的邮件转发使其能重复登录被盗者的 Steam 账号，即便其已经清除了所有登录凭据的授权甚至更改了账户密码。

据我所知，大多此类恶意样本在创意工坊中的分类为“应用程序”。我在此建议饭友们，在 Wallpaper Engine 的创意工坊中挑选壁纸时，请谨慎订阅类型为“应用程序”的壁纸。如仍要订阅，一定要睁大双眼，注意壁纸的文件组成及上传者的信息；并保持安全软件的实时防护功能为开启状态。当发现疑点时立即取消已经订阅过的壁纸，并透过举报功能报告给官方。

当怀疑自己中招时，请立即使用安全软件进行扫描；检查电子邮箱的自动转发功能是否开启。

Jerry.Lin

有关联样本木

fsts1014911532

问题是样本呢？复原情形会被安全软件捕获吗？

GreatMOLA

fsts1014911532 发表于 2023-4-13 23:52
问题是样本呢？复原情形会被安全软件捕获吗？

主要是我自己没遇到过，这篇文章主要是提醒。
安全软件可以杀的。

GreatMOLA

Jerry.Lin 发表于 2023-4-13 23:33
有关联样本木

木有，那个壁纸好像已经下架了。

huangzihang

这种样本免杀应该不咋地的，饭友大都是BD卡巴铁壳等国外大厂杀软，问题不大。
但这种传播方式确实很容易中招啊，社工手段很高明。

kuroandsan

听说壁纸还是刷榜刷上去的

星云劫

如果用 hips 保护 steam 登录凭据所在目录不知是否有防盗效果。

GreatMOLA

星云劫 发表于 2023-4-14 08:23
如果用 hips 保护 steam 登录凭据所在目录不知是否有防盗效果。

思路可以，试试看咯。

GreatMOLA

kuroandsan 发表于 2023-4-14 08:03
听说壁纸还是刷榜刷上去的

是的，疯狂加标签，而且上传者都是新号。