Steam Kullanıcılarını Hedef Alan Duvar Kağıdı Tuzağı

Siber güvenlik kuruluşu Kaspersky, Steam Workshop platformunu ve popüler Wallpaper Engine uygulamasını kullanarak Steam kullanıcılarını hedef alan aktif bir kötü amaçlı yazılım kampanyasını ortaya çıkardı. Saldırganlar, hareketli masaüstü duvar kağıtları görünümünde zararlı yazılımlar dağıtarak binlerce kullanıcının hesabını ele geçirmeyi ve sistemlerine ek kötü amaçlı yazılımlar yüklemeyi amaçlıyor.

Araştırmacılar, halihazırda binlerce kez indirilmiş çok sayıda enfekte duvar kağıdı paketi belirledi. Bu saldırıların başlıca hedefleri Çin ve Rusya'daki Steam kullanıcıları olsa da, Singapur, Hong Kong, Almanya, Vietnam, Hindistan ve Kanada'da da mağdurlar tespit edildi. Steam Workshop'un, kullanıcıların topluluk tarafından oluşturulan içerikleri kolayca bulup yüklemesine olanak tanıyan yerleşik bir Steam özelliği olması ve Wallpaper Engine uygulamasının çalıştırılabilir programları duvar kağıdı olarak çalıştırma yeteneği, saldırganlar için bir açık kapı oluşturuyor.

Saldırı Yöntemleri ve Hedefler

Kaspersky uzmanları, Steam Workshop üzerinden erişilebilen onlarca enfekte duvar kağıdı paketi saptadı. Bu paketlerin birçoğu on binlerce indirmeye ulaştı. Saldırganlar, zararlı yükleri iki ana yöntemle ulaştırıyor: Bazı durumlarda kötü amaçlı çalıştırılabilir dosyalar, DLL'ler ve betikler doğrudan duvar kağıdı paketine dahil edilirken, diğer durumlarda ise zararlı yazılımlar şifreli arşiv dosyalarına (ZIP/RAR vb.) gizleniyor ve şifreler arşiv adlarına veya yapılandırma dosyalarına gömülüyor. Duvar kağıdı yüklendiği anda, arka plandaki zararlı içerikler otomatik olarak faaliyete geçiyor.

Örneğin, Aralık 2025'te keşfedilen bir zararlı duvar kağıdı, ilk bakışta normal çalışarak gömülü bir masaüstü oyununu başlatıyordu. Ancak arka planda, sisteme DarkKomet arka kapısını yerleştiriyor ve Steam kullanıcılarını hedefleyen modifiye edilmiş bir kütüphane yüklüyordu. Bu kütüphane aracılığıyla hesap bilgileri toplanıyor ve aktif Steam oturumları ele geçiriliyordu. Yapılan analizler, saldırıların tek bir grup yerine birden fazla bağımsız tehdit aktörü tarafından gerçekleştirildiğini ve tek bir zararlı yazılım ailesiyle sınırlı olmadığını gösteriyor. Kaspersky, farklı vakalarda zararlı duvar kağıtları aracılığıyla Lumma ve Vidar bilgi hırsızı yazılımlarının (infostealer) yanı sıra RenEngine yükleyicisinin dağıtıldığını tespit etti. Kaspersky’nin güvenlik çözümleri, bu kampanyayla ilişkili tüm zararlı yazılımları algılıyor ve engelliyor.

Siber Güvenlik Uzmanından Uyarılar

Kaspersky siber güvenlik uzmanı Maxim Starodubov, güvenilir platformların bile zararlı yazılım dağıtımı için kötüye kullanılabileceğini vurguladı. Starodubov, “Bu saldırılar, kullanıcıların meşru ekosistemlerde barındırılan içeriklere duyduğu güvenden yararlanıyor. Kullanılan zararlı yazılım ailelerinin çoğu uzun süredir bilinse de, dağıtım yöntemi saldırganların görünüşte zararsız içerikler aracılığıyla çok sayıda potansiyel kurbana ulaşmasını sağlıyor” dedi. Kaspersky, kullanıcılara şu önlemleri almalarını tavsiye ediyor: Güvenilir kaynaklardan bile olsa herhangi bir uygulama indirirken her zaman temkinli olun. Topluluk tarafından üretilen içerikleri (UGC) yüklemeden önce içerik üreticilerinin itibarını ve güvenilirliğini doğrulayın. Tehditleri tespit etmek için güvenilir ve kanıtlanmış siber güvenlik çözümlerinden yararlanın.