ユーザー生成コンテンツが任意のコードを実行できる場合、一般的なデジタル配布エコシステムでさえ強力な感染経路となり得ます。悪意ある攻撃者が最近、Wallpaper Engineアプリケーションを通じて、無害な壁紙に偽装したマルウェアを拡散させるためにSteam Workshopを悪用していたことが明らかになりました。
カスペルスキーによる継続的キャンペーンの発見
この巧妙なキャンペーンはカスペルスキーのセキュリティ研究者によって発見されました。一連のサイバー攻撃は、少なくとも2025年末頃から継続的に行われていたことが確認されています。悪意あるペイロードはWallpaper Engineのインタラクティブ壁紙に巧みに偽装し、Steam Workshop――本来は信頼性の高いユーザー生成のMod、マップ、スキンを提供するリポジトリ――を通じてユーザーのシステムに侵入していました。
Steam Workshopで発見された数十の悪意ある壁紙の詳細レポートによると、この脅威はアプリケーションの特定機能を悪用したものです。根本的なアーキテクチャ上の脆弱性は、Wallpaper Engine固有の「scene-application」フォーマットに起因しています。これらのアセットは本質的に、ユーザーのデスクトップ上で動的にレンダリングするよう設計された、完全に機能するWindows実行可能プログラムです。本来はインタラクティブなウィジェット、ミニゲーム、システムダッシュボードのサポートを目的とした機能ですが、攻撃者はこれを巧妙に悪用し、バックグラウンドで任意の悪意あるコードをひそかに実行させています。
自動実行と高い感染率
カスペルスキーのテレメトリによると、悪意あるペイロードは壁紙パッケージに直接埋め込まれているか、パスワード保護されたアーカイブ内に隠されており、ユーザーに手動展開を促すソーシャルエンジニアリング手法が併用されていました。壁紙をインストールすると、マルウェアは自動的に実行されます。さらに驚くべきことに、これらの不正ファイルはすでに数千回ダウンロードされており、一部のケースでは数万回を超えています。
ペイロードの解析：RATから情報窃取マルウェアまで
技術的な解析において、研究者たちは人気ユーティリティ NTRaholic に偽装した特定のパッケージを調査しました。実行すると、そのアプリケーションは正規のプログラムを模倣しつつ、同時に悪名高い「DarkKomet」ファミリーのバックドアを展開しました。DarkKometは秘密裏な管理制御を目的として開発されたリモートアクセス型トロイの木馬（RAT）です。さらに、別のコンポーネントが被害者のホスト上で有効なSteamアカウントをスキャンし、機密認証情報の収集と窃取を試みていました。
DarkKometのほかにも、カスペルスキーはこの手口を通じて配布される多様なマルウェアを確認しています。具体的には、LummaおよびVidarの情報窃取マルウェア、仮想通貨マイナー、ボットネットローダー、RanEngineコンポーネント、そしてランサムウェアの亜種などが含まれます。Valveは問題の壁紙をSteamから削除する迅速な対応をとりましたが、攻撃者が新たなバージョンを容易にアップロードできるため、脅威は依然として続いています。このリスクを軽減するため、ユーザーは信頼性の高いクリエイターのコンテンツのみをダウンロードし、最新のシグネチャデータベースを備えた信頼性の高いウイルス対策ソリューションを活用してSteam Workshopのコンテンツを精査することを強くお勧めします。
翻訳元: https://meterpreter.org/steam-workshop-malware-wallpaper-engine/
