Steam Workshop'ta Gizli Tehdit: Zararlı Duvar Kağıtları

Siber güvenlik firması Kaspersky araştırmacıları, popüler oyun platformu Steam'in Workshop özelliğini ve hareketli masaüstü arka planları oluşturmaya yarayan Wallpaper Engine uygulamasını istismar eden geniş çaplı bir zararlı yazılım dağıtım operasyonunu gün yüzüne çıkardı. Saldırganlar, kötü niyetli yazılımları, zararsız görünen masaüstü duvar kağıtları kılığına sokarak yayıyor ve bu durum, kullanıcıların Steam hesaplarının çalınmasına ve sistemlere ek zararlı yazılımların bulaşmasına neden oluyor.

Uzmanlar, şu ana kadar binlerce kez indirilmiş çok sayıda enfekte duvar kağıdı paketini belirledi. Bu siber saldırıların öncelikli hedefi Çin ve Rusya'daki Steam kullanıcıları olsa da, Singapur, Hong Kong, Almanya, Vietnam, Hindistan ve Kanada gibi ülkelerde de mağdurlar tespit edildi. Saldırganların temel hedefi, oyuncuların hesaplarını ele geçirmek ve hedef sistemlere farklı kötü amaçlı yazılımlar yüklemek olarak belirtildi.

Saldırı Mekanizması ve Kapsamı

Steam Workshop, kullanıcıların topluluk tarafından oluşturulan modlar, haritalar, oyun içi nesneler ve duvar kağıtları gibi içerikleri kolayca bulup yükleyebildiği bir platformdur. Wallpaper Engine uygulaması ise videolar, etkileşimli sahneler, web sayfaları ve doğrudan uygulamalar dahil olmak üzere çeşitli formatlarda duvar kağıtlarını destekler. Uygulama tabanlı duvar kağıtları, çalıştırılabilir programların doğrudan Windows işletim sisteminde çalışmasına izin verdiğinden, saldırganlar bu açıklığı kötüye kullanarak meşru içerik gibi görünen kötü amaçlı yazılımları dağıtıyorlar. Kaspersky, Steam Workshop üzerinden erişilebilen onlarca enfekte duvar kağıdı paketi saptadı ve bu paketlerin çoğunun on binlerce kez indirildiği belirlendi.

Saldırganlar, zararlı yükleri iki ana yöntemle ulaştırıyor. Bazı durumlarda, kötü amaçlı çalıştırılabilir dosyalar, DLL'ler ve betikler doğrudan duvar kağıdı paketine dahil edilirken, diğer durumlarda zararlı yazılımlar şifreli arşiv dosyalarına (ZIP/RAR vb.) gizleniyor ve bu şifreler arşiv adlarına veya yapılandırma dosyalarına gömülüyor. Duvar kağıdı yüklendiği anda, arka plandaki zararlı içerikler otomatik olarak devreye giriyor. Örneğin, Aralık 2025'te tespit edilen bir duvar kağıdı örneği, ilk bakışta normal çalışırken ve gömülü bir masaüstü oyunu başlatırken, arka planda DarkKomet arka kapısını ve Steam kullanıcılarını hedefleyen modifiye edilmiş bir kütüphaneyi sisteme yüklüyordu. Bu kütüphane aracılığıyla hesap bilgileri toplanıyor ve aktif Steam oturumları ele geçiriliyordu.

Analizler, saldırıların tek bir grup yerine birden fazla bağımsız tehdit aktörü tarafından gerçekleştirildiğini ve tek bir zararlı yazılım ailesiyle sınırlı olmadığını gösteriyor. Kaspersky, farklı vakalarda Lumma ve Vidar bilgi hırsızı yazılımlarının (infostealer) yanı sıra RenEngine yükleyicisinin de zararlı duvar kağıtları aracılığıyla dağıtıldığını tespit etti. Kaspersky'nin güvenlik çözümleri, bu kampanyayla ilişkili tüm kötü amaçlı yazılımları başarıyla algılayıp engelliyor.

Güvenlik Önlemleri

Kaspersky siber güvenlik uzmanı Maxim Starodubov, güvenilir platformların bile kötü amaçlı yazılım dağıtımı için kullanılabileceğini vurgulayarak, bu saldırıların kullanıcıların meşru ekosistemlerdeki içeriğe duyduğu güvenden faydalandığını belirtti. Starodubov, kullanılan zararlı yazılım ailelerinin çoğu bilinen türler olsa da, dağıtım yönteminin saldırganlara zararsız görünen içerikler aracılığıyla geniş bir kitleye ulaşma imkanı sağladığını ekledi. Kaspersky, kullanıcıların şu önlemleri almasını tavsiye ediyor:

• Güvenilir kaynaklardan bile olsa herhangi bir uygulama indirirken her zaman dikkatli olun.
• Topluluk tarafından oluşturulan içerikleri (UGC) yüklemeden önce içerik üreticilerinin itibarını ve güvenilirliğini doğrulayın.
• Tehditleri tespit etmek için güvenilir ve kanıtlanmış siber güvenlik çözümlerinden yararlanın.