LONDON (IT BOLTWISE) – Sicherheitsforscher berichten von einer seit 2025 laufenden Malware-Kampagne, die Steam-Nutzer über präparierte Wallpaper tarnt. Täter missbrauchen dabei eine Wallpaper-Engine-Funktion, die eingebettete, ausführbare Inhalte ausführen kann. Nach dem Aufspielen stehlen die Schadprogramme Kontodaten, kapern laufende Sessions und laden weitere schädliche Inhalte in die Steam-Workshops hoch. Steam hat die betroffenen Wallpaper inzwischen entfernt, empfohlen werden aber vor dem erneuten Anwenden gründliche Antivirus-Scans.
Wer Steam nutzt, erwartet vor allem Unterhaltung – und unterschätzt dabei oft die Angriffsfläche rund um „harmlos“ wirkende Zusatz-Apps. Wie Branchenforscher von Kaspersky berichten, läuft seit 2025 eine anhaltende Kampagne, bei der Cyberkriminelle Schadsoftware über den Steam-Workshop verbreiten. Betroffen sind insbesondere Nutzer, die die Live-Wallpaper-Software Wallpaper Engine verwenden: Die Angreifer kapseln ausführbare Komponenten in scheinbar legitimen Wallpaper-Profilen, sodass das Muster bei vielen zunächst wie gewöhnliche Individualisierung aussieht. Für Unternehmen und IT-Verantwortliche ist das besonders relevant, weil sich die Mechanik hinter dem Angriff nicht auf „Gaming“ beschränkt, sondern auf Standardmuster moderner Schadsoftware setzt.
Technisch greift die Kampagne einen Kernpunkt des Wallpaper-Ökosystems an: Wallpaper Engine erlaubt das Ausführen einer „Application Wallpaper“-Komponente als eigenständige Windows-Datei. Je nach Installation können dabei nicht nur Layouts, sondern auch widgetartige Elemente oder sogar community-entwickelte Minianwendungen (z. B. Planer, Kalender, Monitor-Widgets) integriert werden. Genau diese Flexibilität macht das System attraktiv für Angreifer, denn ungesicherte oder nicht verifizierte Drittcode-Ausführung ist in der Praxis ein Einfallstor. Der Angriff nutzt damit im Kern eine klassische Vertrauenskette: Wenn Nutzer einer App und deren Verteilkanal vertrauen, kann Schadcode unter dem Deckmantel „Erweiterung“ ausgeführt werden.
Die Verteilung erfolgt laut Analyse in zwei Hauptvarianten. Zum einen werden Archive bereitgestellt, die neben der Wallpaper Engine-Ausführung auch einen bösartigen Payload enthalten – häufig in Form kompromittierter ausführbarer Dateien (.exe), dynamischer Bibliotheken (.dll) oder Skripte. Zum anderen werden die Komponenten wiederholt in passwortgeschützten Archiven versteckt, was die Sichtbarkeit für Nutzer und teils auch für automatisierte Preview-Checks verringert. Entscheidend ist, dass die Ausführung nicht bei „Skript starten“ beginnt, sondern beim Anwenden des Wallpapers: Sobald der Wallpaper aktiviert wird, laufen die präparierten Bestandteile automatisch an. Damit wird aus einem Download im Hintergrund ein vollwertiger Infektionspfad.
Nach dem Start übernehmen die Schadprogramme die Kontrolle über die Sitzung des Opfers. Die Täter stehlen demnach Anmeldedaten, kapern aktive Live-Sessions und übermitteln die gewonnenen Informationen an Server, die von den Angreifern gesteuert werden. Besonders kritisch ist der nächste Schritt: Sobald die Angreifer Kontrolle über ein kompromittiertes Steam-Konto erlangen, nutzen sie dieses Konto, um weitere schädliche Wallpaper in den Steam-Workshop hochzuladen. So entsteht ein Multiplikator-Effekt, der die Kampagne über Zeit stabil hält. Experten weisen bei solchen Mustern regelmäßig darauf hin, dass sich die Wirkung nicht nur auf die erste Infektion beschränkt, sondern durch „self-propagation“ die Reichweite erhöht.
Um den Ablauf nachzustellen, entwickelten die Forscher laut Bericht einen Test-Wallpaper mit einer manipulierten Komponente, die ein Spiel („NTRaholic“) vortäuscht. Im Test funktionierte Gameplay und Steuerung zunächst wie erwartet – ein typisches Vorgehen, um verdächtiges Nutzerverhalten zu vermeiden. Dennoch wird im Hintergrund eine Backdoor-Komponente („Synaptics.exe“) abgelegt, die zur DarkKomet-Malware-Familie gehört. Der bösartige Installationspfad nutzt dabei eine Tarnstruktur: Das ausführende Element trägt den Namen „._cache_GAME1.exe“, ergänzt wird es jedoch durch eine manipulierte Systembibliothek („AggregatorHost.dll“), die die eigentliche Payload enthält. Für die IT ist das ein Lehrbeispiel dafür, wie Schadsoftware häufig auf scheinbar funktionale Dateinamen und unauffällige UI-Verläufe setzt.
Der Markt- und Wettbewerbsaspekt zeigt sich auch an der Zielgruppe und dem Timing. Die kompromittierten Downloads konzentrierten sich stark auf China (im Bericht genannt: 89% der schädlichen Downloads), wobei auch Nutzer in weiteren Ländern wie Deutschland, Kanada, Russland, Singapur, Hongkong, Vietnam und Indien betroffen waren – allerdings in deutlich geringerer Zahl. Das Muster spricht für ein skalierbares Kampagnen-Design, das nicht nur von lokalen Begebenheiten abhängt, sondern von der breiten Plattformlogik profitiert. Gleichzeitig reagiert der Plattformbetreiber: Steam habe die schädlichen Wallpaper inzwischen entfernt. Sicherheitsprodukte wie Microsoft Defender oder andere Endpoint-Scanner (je nach Unternehmensstandard) können helfen, aber sie ersetzen nicht die Notwendigkeit, die Ausführungslogik solcher „Wallpaper als App“-Mechanismen kritisch zu prüfen.
Historisch ist das kein völlig neuer Ansatz, sondern eine Weiterentwicklung bekannter Angriffswege: Früher waren „Mod“- und „Plugin“-Ökosysteme auf Spieleplattformen besonders häufig Ziel von Supply-Chain-ähnlichen Manipulationen. Mit steigender Interaktivität und mehr Berechtigungen für Erweiterungen verlagerte sich die Angriffsfläche hin zu ausführbaren Assets, die Nutzer freiwillig installieren oder aktivieren. Die heute verwendeten Techniken wirken deshalb wie eine Mischung aus Social Engineering (Überzeugung durch Funktionalität), Containerisierung (Archive, teilweise passwortgeschützt) und Session-Abgriff (Credential Theft und Hijacking). Unternehmen, die solche Plattformen intern erlauben oder Mitarbeitende darauf zugreifen lassen, sollten diese Entwicklung als Warnsignal verstehen: „Non-game downloads“ sind nicht automatisch nicht sicher.
Für die Zukunft bedeutet das vor allem: Regeln müssen tiefer ansetzen als bei reinen URL- oder Dateinamen-Blocklisten. Steam-Entfernung reduziert zwar die weitere Verbreitung, aber bereits aktivierte Wallpaper können installiert oder Komponenten können im Systemkontext abgelegt worden sein. Kaspersky empfiehlt deshalb, vor dem Anwenden von Wallpapers mit eingebetteten Executables gründliche Antivirus-Scans durchzuführen. Aus Enterprise-Sicht empfiehlt sich darüber hinaus, die lokale Ausführungsberechtigung von untrusted Drittcode zu begrenzen, z. B. über Application-Control-Policies, zusätzliche Endpoint-Detections und eine konsequente Schulung der Nutzer, die sich auf „harmlos“ getarnte Inhalte verlassen. In der nächsten Stufe ist zu erwarten, dass Angreifer stärker automatisierte Signaturen, heuristische Umgehungen und dynamische Payload-Loader einsetzen, um die Erkennung bei AV und EDR weiter zu erschweren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Malware über Steam: Wallpaper Engine wird seit 2025 missbraucht" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Malware über Steam: Wallpaper Engine wird seit 2025 missbraucht" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Malware über Steam: Wallpaper Engine wird seit 2025 missbraucht« bei Google Deutschland suchen, bei Bing oder Google News!