(DeepL번역입니다)

공격자들은 스팀 워크숍을 악용해 배경화면으로 위장한 악성코드를 유포함으로써, 감염 및 계정 탈취를 하고 있습니다.

카스퍼스키 연구진은 스팀 워크숍(Steam Workshop)과 애니메이션 바탕화면을 제작 및 공유하는데 사용되는 

인기 스팀 애플리케이션인 월페이퍼 엔진(Wallpaper Engine)을 악용한 악성코드 유포 캠페인이 진행 중임을 밝혀냈습니다.

연구진은 수천 건의 다운로드가 누적된 여러 개의 감염된 바탕화면 패키지를 확인했습니다.

주로 중국과 러시아의 스팀 사용자가 표적이 되었으며, 그 외 싱가포르, 홍콩, 독일, 베트남, 인도, 캐나다에서도 피해자가 발생했습니다.

공격자들의 주된 목적은 게임 계정을 탈취하고 추가 악성코드를 설치하는 것이었습니다.

스팀 워크숍(Steam Workshop)은 스팀 게임 플랫폼의 내장 기능으로,

사용자가 모드, 사용자 지정 맵, 게임 아이템, 배경화면 등 사용자 제작 콘텐츠를 쉽게 찾고, 설치하고, 관리할 수 있게 해줍니다.

월페이퍼 엔진(Wallpaper Engine) 앱은 동영상, 인터랙티브 장면, 웹 페이지, 애플리케이션 등 다양한 배경화면 형식을 지원합니다.

애플리케이션 기반 배경화면 기능을 통해 실행 가능한 프로그램이 사용자의 Windows 컴퓨터에서 직접 실행될 수 있어,

공격자가 합법적인 콘텐츠로 위장하여 악성 소프트웨어를 유포할 수 있습니다.

카스퍼스키는 Steam 워크숍을 통해 제공되는 수십 개의 감염된 배경화면 패키지를 확인했습니다.

이들 패키지 중 상당수는 수천 건, 심지어 수만 건의 다운로드 기록을 보였습니다.

공격자들이 사용한 주요 유포 방식은 두 가지였습니다.

어떤 경우에는 악성 실행 파일, DLL, 스크립트가 배경화면 패키지에 직접 포함되어 있었습니다.

또 다른 경우에는 공격자들이 암호로 보호된 압축 파일 안에 악성코드를 숨겼으며,

암호는 압축 파일 이름이나 구성 파일에 내장되어 있었습니다.

배경화면이 설치되면 악성 페이로드가 자동으로 실행되었습니다.

예를 들어, 2025년 12월에 발견된 악성 배경화면 샘플 중 하나는 처음에는 정상적으로 작동하는 것처럼 보였으며,

감염된 흔적이 전혀 드러나지 않은 채 내장된 데스크톱을 실행했습니다.

그러나 백그라운드에서는 이 배경화면이 DarkKomet 백도어를 배포하고 스팀 사용자를 표적으로 설계된 변조된 라이브러리를 설치했는데,

이를 통해 계정 정보를 수집하고 활성 스팀 세션을 탈취했습니다.

이번 공격은 단일 그룹이 아닌 여러 독립적인 위협 행위자들에 의해 수행된 것으로 보이며, 특정 악성코드 계열에만 국한되지 않았습니다.

카스퍼스키는 여러 사례에서 Lumma 및 Vidar 정보 탈취형 악성코드와 RenEngine 로더를 유포하는 악성 배경화면을 탐지했습니다.

카스퍼스키의 보안 솔루션은 이 캠페인과 관련된 모든 악성코드를 탐지하고 차단합니다.

카스퍼스키의 사이버 보안 전문가 막심 스타로두보프(Maxim Starodubov)는

“신뢰할 수 있는 플랫폼이 악성코드 유포에 악용될 수 있습니다.

이러한 공격은 사용자가 합법적인 생태계 내에서 호스팅되는 콘텐츠를 신뢰한다는 점에 의존합니다.

관련 악성코드 계열 중 상당수는 이미 잘 알려져 있지만,

이러한 유포 방식을 통해 공격자들은 겉보기에는 무해해 보이는 콘텐츠를 통해 수많은 잠재적 피해자에게 접근할 수 있습니다”

라고 언급했습니다.