«Обои-ловушки»: как заражённые темы для рабочего стола крадут аккаунты Steam

Злоумышленники начали использовать неожиданный канал распространения вредоносного ПО — пользовательские обои для рабочего стола. Речь идёт о заражённых пакетах, распространяемых через сервис Steam Workshop и приложение Wallpaper Engine. Под видом визуальных тем для персонализации ПК скрываются программы, способные похищать игровые аккаунты, пароли и даже финансовые данные пользователей.

Об этой кампании, которая затрагивает геймеров по всему миру, включая Россию, сообщили специалисты Лаборатория Касперского. По их данным, активность злоумышленников фиксируется как минимум с конца 2025 года, а некоторые вредоносные «наборы обоев» были загружены десятки тысяч раз, что говорит о масштабности распространения угрозы.

Как обои превращаются в вредоносный инструмент

На первый взгляд атака выглядит нетипично. Пользователь скачивает визуально привлекательные анимированные обои, часто — из популярных коллекций в Steam Workshop, где размещается контент от сообщества. Однако внутри таких пакетов скрываются исполняемые файлы, скрипты или библиотеки DLL, которые активируются после установки.

Специалисты выделяют два основных сценария заражения:

1. Первый вариант — прямое внедрение вредоносного кода. Файлы запускаются вместе с обоями и незаметно для пользователя устанавливают дополнительные компоненты вредоносного ПО.
2. Второй вариант — скрытые архивы с паролем. Вредоносные файлы помещаются в защищённые архивы, а пароль к ним указывается в описании или названии пакета. После ручной распаковки пользователь сам запускает заражённые компоненты.

Что делает вредоносное ПО

Один из обнаруженных образцов, зафиксированный в декабре 2025 года, оказался особенно опасным. Он не проявлял себя явно, продолжая выполнять функции обычных обоев, но в фоновом режиме:

• устанавливал бэкдор для удалённого доступа к компьютеру;
• внедрял модифицированные библиотеки для перехвата данных Steam;
• позволял собирать учётные данные и угонять активные сессии пользователей.

Таким образом, злоумышленники получали полный контроль над игровыми аккаунтами жертв, включая возможность перепродажи предметов, внутриигровых ценностей и доступа к платным сервисам.

География атак: не только Россия

По данным исследователей, под удар попали пользователи из разных стран:

• Россия
• Китай
• Сингапур
• Гонконг
• Германия
• Вьетнам
• Индия
• Канада

Это указывает на международный характер кампании и отсутствие целевого ограничения по регионам. Фактически атакующие ориентируются на максимально широкую аудиторию геймеров.

Какие вредоносные инструменты использовались

Эксперты отмечают, что за кампанией могут стоять несколько независимых групп. В рамках атаки фиксировалось использование различных типов вредоносного ПО:

• Lumma — стилер для кражи паролей и данных браузеров
• Vidar — инструмент для сбора финансовой и личной информации
• RenEngine — загрузчик дополнительных вредоносных модулей

Такой набор позволяет злоумышленникам не только угонять игровые аккаунты, но и расширять доступ к системе жертвы, включая банковские данные и корпоративные учётные записи.

Почему именно Steam Workshop и Wallpaper Engine

Эксперты объясняют выбор платформы особенностями их архитектуры.

• Steam Workshop и Wallpaper Engine позволяют пользователям:
• загружать и устанавливать контент напрямую из сообщества;
• запускать интерактивные и исполняемые элементы;
• доверять популярным авторам без дополнительной проверки кода.

Именно эта «модель доверия» и становится уязвимостью. Пользователь воспринимает контент как безопасный, особенно если он набирает популярность или имеет положительные отзывы.

Как защититься

Специалисты подчёркивают, что даже популярные платформы не гарантируют полной безопасности. Основные рекомендации включают:

• проверять репутацию автора перед установкой контента;
• избегать загрузки малоизвестных или недавно созданных пакетов;
• использовать антивирусные решения и поведенческий анализ;
• внимательно относиться к архивам с паролями внутри описания;
• регулярно менять пароли, особенно к игровым аккаунтам Steam;
• включать двухфакторную аутентификацию.

Контекст: киберугрозы всё чаще маскируются под «креативный контент»

Этот случай вписывается в более широкую тенденцию: вредоносное ПО всё чаще распространяется не через традиционные заражённые сайты или фишинговые письма, а через пользовательский контент — моды, плагины, шейдеры, темы и даже визуальные элементы интерфейса.

Ранее фиксировались случаи атак через модификации игр и поддельные обновления, однако использование обоев рабочего стола показывает новый уровень социальной инженерии: злоумышленники эксплуатируют не технические уязвимости, а доверие пользователей к привычным источникам контента.

Ранее журналисты сайта «Пронедра» писали, что кибершпионы выходят на охоту: как группировка SiribClone атакует российских военных через фальшивые сервисы обмена фотографиями