LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor einer Kampagne, die bösartige Inhalte über den Steam-Workshop in scheinbar harmlose Wallpaper-Downloads einschleust. Angreifer missbrauchen dabei ein Wallpaper Engine-Feature, das animierte Hintergrundbilder bereitstellt, um Schadsoftware auf Rechnern zu installieren. Laut Kaspersky wurden bereits tausende Downloads verzeichnet und im untersuchten Fall eine Backdoor-Komponente getarnt ausgeliefert. Valve habe die betroffenen Wallpaper inzwischen entfernt, doch für Unternehmen und Nutzer bleiben die Abwehrmaßnahmen essenziell.
Der Steam-Workshop gilt vielen Gamern als harmlose Fundgrube für neue Skins, Soundpacks und eben animierte Hintergründe. Genau diese Erwartungslücke nutzt eine aktuelle Kampagne aus, vor der Sicherheitsforscher von Kaspersky Mitte Juni gewarnt haben. Im Kern geht es darum, dass Kriminelle bösartigen Code in Wallpaper-Pakete packen, die wie funktionale Desktop-Hintergründe wirken. Damit verschiebt sich das Risiko von der klassischen Download- oder Executable-Ebene hin zu scheinbar „ästhetischen“ Assets, die im Alltag oft unkritisch installiert werden. Für Plattformbetreiber und Unternehmen ist das ein Signal, dass Community-Ökosysteme nicht automatisch sicherer sind als zentrale Softwarevertriebe.
Technisch knüpft der Angriff an ein populäres Tool namens Wallpaper Engine an, das über die „Application Wallpaper“-Funktion Hintergründe in einer Anwendungssicht bereitstellt. Angreifer platzieren dabei schädliche Komponenten so in den Wallpaper-Inhalten, dass der Nutzer beim Herunterladen keine Warnsignale sieht. Der Infektionsprozess beginnt mit Wallpaper-Paketen, die versteckte Archive oder passwortgeschützte Dateien enthalten können. Kaspersky beschreibt Dutzende solcher bösartigen Einträge, die bereits tausende Downloads aufwiesen. In einem untersuchten Fall aus Dezember 2025 installierte die Schadsoftware eine Backdoor namens „DarkKomet“, getarnt als Datei mit dem Namen „Synaptics.exe“.
Für den eigentlichen Datenabfluss nutzen die Angreifer offenbar eine manipulierbare Komponente in Form der Systembibliothek „AggregatorHost.dll“. Diese wird nicht nur als „Hülle“ eingesetzt, sondern übernimmt die Aufgabe, relevante Steam-Zugangsdaten sowie Sitzungsinformationen zu sammeln. Anschließend werden die Daten an einen Kommando-Server übertragen, konkret unter einer hxxp://120.48.156[.]17/ey.php genannten Adresse. Neben DarkKomet beobachteten die Forscher laut Bericht auch weitere Schadsoftware-Familien wie Lumma, Vidar und RenEngine. Der technische Vergleich liegt nahe: Im Gegensatz zu herkömmlichen Phishing-Dokumenten wird hier eine legitime Installationsstrecke missbraucht, wodurch sich die Hürde für Angreifer senkt.
Auf der Markt- und Regionalebene zeigt die Kampagne ein auffälliges Muster. Laut Kaspersky konzentrieren sich die schädlichen Downloads stark auf bestimmte Regionen: Nutzer in China sollen 89 Prozent der schädlichen Downloads ausmachen, gefolgt von Russland mit 5,5 Prozent. Gleichzeitig fand die Kampagne aber auch in anderen Ländern Resonanz, darunter Singapur, Hongkong, Deutschland, Vietnam, Indien und Kanada. Diese Mischung spricht dafür, dass mehrere Akteure parallel vorgehen oder dass die Kampagnenbreite über die Zeit skaliert wurde. Als Gegenmaßnahme hat Valve die identifizierten bösartigen Wallpaper inzwischen aus dem Steam-Workshop entfernt, was kurzfristig die Reichweite begrenzt, aber die grundlegende Angriffslogik nicht abschafft.
Interessant ist zudem, dass die Untersuchung auf das gleichzeitige Wirken mehrerer unabhängiger Tätergruppen hindeutet. Jede Gruppe kann dabei eigene Schadsoftware-Familien einsetzen und unterschiedliche Ziele verfolgen, obwohl der Einstiegspunkt identisch wirkt: der Steam-Workshop als Vertriebskanal. Neben Kontodiebstahl wurden laut Bericht auch Infostealer sowie Kryptowährungs-Miner ausgerollt. Das ist ein klarer Unterschied zu „einfacher“ Malware-Distribution, denn Mining- und Stealer-Use-Cases erhöhen die Belastung für betroffene Endgeräte und schaffen häufig Folgekaskaden, etwa durch weitere Datenabflüsse oder Persistenzmechanismen. Experten berichten in diesem Zusammenhang oft, dass genau diese Modularität Angreifer über längere Zeit handlungsfähig hält.
Der Vorfall ordnet sich in eine breitere Serie von Sicherheitsereignissen auf digitalen Content-Plattformen ein. Mitte Juni seien außerdem 152 schädliche Chrome-Erweiterungen entdeckt worden, die sich als Live-Wallpaper tarnten und über 105.000 Nutzer betroffen haben. Damit zeigt sich ein wiederkehrendes Muster: Wer Nutzer über „Convenience“- oder Lifestyle-Kontexte abholt, kann sich auf wiederholtes Installationsverhalten stützen. Auch der „Atomic Arch“-Angriff auf das Arch User Repository (AUR) wurde als aufsehenerregend beschrieben, bei dem bis zum 11. Juni 2026 über 1.500 schädliche Pakete veröffentlicht worden sein sollen. Solche Beispiele machen deutlich, dass Vertrauen in Community-Quellen nicht automatisch „Sicherheitsvertrauen“ bedeutet.
Aus Sicht der technischen Verteidigung ist vor allem die Kombination aus Dateinamens- und Bibliotheks-Mimikry relevant. Wenn eine Backdoor als „Synaptics.exe“ auftaucht und zugleich eine benutzer- oder systemseitig relevanten DLL-Kernbaustein („AggregatorHost.dll“) manipuliert, steigt die Wahrscheinlichkeit, dass klassische Nutzerheuristiken wie „sieht plausibel aus“ versagen. Für Unternehmen heißt das: Endpoint-Schutz und EDR-Regeln sollten nicht nur nach Dateityp gehen, sondern auch nach Verhaltensmustern wie untypischen Netzwerkverbindungen, verdächtigen Prozessketten oder dem Zugriff auf Sitzungsdaten. Im Vergleich zur reinen Cloud-Scan-Logik ist ein konsequenter „Behavioral“-Ansatz oft besser, weil er sich weniger leicht mit semantisch klingenden Dateinamen täuschen lässt.
Der Blick nach vorn sollte daher weniger fragen, ob Valve die konkreten Einträge entfernt hat, sondern wie sich derartige Angriffe künftig frühzeitig erkennen und präventiv abfangen lassen. Für Entwickler und Betreiber von Plattformen lohnt sich die konsequente Nutzung mehrschichtiger Prüfungen: Signatur- und Integritätschecks, strengere Vetting-Mechanismen bei User-Assets sowie automatisierte Analysen von Installations- und Ausführungsabläufen. Gleichzeitig müssen Nutzer und Admins ihre Prozesse schärfen, etwa durch Segmentierung, Least-Privilege und das Minimieren der Rechte beim Installieren von Drittanbieter-Assets. Wenn Community-Distribution weiterhin so missbraucht werden kann, ist zu erwarten, dass Angreifer stärker in „scheinbar harmlose“ Oberflächen ausweichen—und damit wird die Security-Strategie für Unternehmen zwangsläufig umfassender.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Steam-Workshop als Malware-Vektor: Kaspersky warnt vor bösartigen Wallpaper-Downloads" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Steam-Workshop als Malware-Vektor: Kaspersky warnt vor bösartigen Wallpaper-Downloads" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Steam-Workshop als Malware-Vektor: Kaspersky warnt vor bösartigen Wallpaper-Downloads« bei Google Deutschland suchen, bei Bing oder Google News!