Angreb via Steam Workshop
I en rapport offentliggjort mandag oplyser Kaspersky, at angribere har brugt Steam Workshop til at distribuere ondsindede downloads af Wallpaper Engine, der er forklædt som animerede skrivebordsbaggrunde, mange med kvindelige anime-karakterer.
“Den applikationsbaserede wallpaper-funktion tillader eksekverbare programmer at køre direkte på en brugers Windows-computer, hvilket gør det muligt for angribere at distribuere ondsindet software under dække af legitimt indhold,” sagde Kaspersky.
De tilføjede, at de havde identificeret dusinvis af inficerede wallpaper-pakker tilgængelige gennem Steam Workshop. Kaspersky identificerede også malware-familierne Lumma og Vidar, som ofte bruges til at stjæle legitimationsoplysninger, browserdata og information om kryptovaluta-wallets, sammen med RenEngine loaderen.
Omfanget af infektioner
Forskere bemærkede, at aktiviteten syntes at involvere flere trusselaktører snarere end en enkelt gruppe.
“Mange af disse pakker havde tusinder eller endda titusinder af downloads,” sagde firmaet.
Ifølge Kaspersky var ofrene for malware-kampagnen primært i Kina og Rusland, selvom infektioner også blev registreret i Singapore, Hong Kong, Tyskland, Vietnam, Indien og Canada.
Metoder til distribution
De ondsindede wallpapers indeholdt enten malware direkte eller skjulte det i adgangskodebeskyttede arkiver, der blev udpakket efter installation. Virksomheden nævnte et tilfælde fra 2025, hvor et wallpaper tilsyneladende lancerede et legitimt skrivebordsspil, mens det hemmeligt installerede DarkKomet backdoor.
“Betroede platforme kan misbruges til at distribuere malware: Angrebene er afhængige af, at brugerne stoler på indhold, der er hostet inden for legitime økosystemer,” sagde Kaspersky-forsker Maxim Starodubov i en erklæring.
“Selvom mange af de involverede malware-familier er velkendte, muliggør leveringsmekanismen, at angribere kan nå et stort antal potentielle ofre gennem tilsyneladende harmløst indhold.”
Tidligere hændelser
Fundene tilføjer en voksende liste over Steam-relaterede malware-hændelser. I juli 2025 rapporterede forskere fra cybersikkerhedsfirmaet Prodaft, at Steam Early Access-spillet Chemia var blevet kompromitteret for at distribuere Hijack Loader, Fickle Stealer og Vidar Stealer malware, der målretter kryptovaluta-wallets og brugerdata.
I marts annoncerede FBI en efterforskning af malware distribueret gennem flere Steam-spil, herunder Chemia, PirateFi, BlockBlasters, Dashverse, DashFPS, Lampy, Lunara og Tokenova.
