Malware no Steam Workshop usa Wallpaper Engine
Malware no Steam Workshop foi distribuído por meio de pacotes de wallpaper usados no Wallpaper Engine, segundo pesquisadores da Kaspersky. A campanha, revelada em 16 de junho de 2026 pelo BleepingComputer, explorou a plataforma comunitária da Valve para instalar backdoors, ladrões de informação, mineradores de criptomoedas e até ransomware em computadores Windows. O ataque atingia usuários que baixavam papéis de parede aparentemente legítimos e os executavam pelo aplicativo de personalização de área de trabalho disponível na Steam.
O risco central está nos “application wallpapers”: papéis de parede que funcionam como aplicativos executáveis do Windows e podem rodar código no sistema.
Tabela de conteúdos
Como o malware no Steam Workshop foi distribuído
O Steam Workshop é o hub oficial da Valve para compartilhamento de conteúdo criado pela comunidade, incluindo mods, mapas, skins, arquivos salvos, ferramentas e wallpapers. No caso investigado, criminosos publicaram papéis de parede para o Wallpaper Engine, aplicativo popular na Steam com quase um milhão de avaliações registradas em bases como o SteamDB.
Segundo a Kaspersky, o malware no Steam Workshop vinha embutido diretamente nos pacotes ou escondido em arquivos compactados protegidos por senha. Em alguns casos, a vítima era induzida a abrir o arquivo manualmente. Em outros, a carga maliciosa era executada automaticamente quando o wallpaper era instalado.
Por que o Wallpaper Engine virou alvo
O Wallpaper Engine permite quatro tipos principais de papel de parede: vídeos, cenas interativas, páginas web com áudio e vídeo, e aplicativos. Essa última categoria é a mais sensível, pois usa janelas ativas de softwares como fundo da área de trabalho. Na prática, um “application wallpaper” pode se comportar como um executável comum.
A Kaspersky afirma que esse recurso cria um risco de segurança incorporado, especialmente quando usuários instalam conteúdo de autores desconhecidos. Os ataques teriam começado pelo menos no fim de 2025, com dezenas de wallpapers maliciosos publicados no Steam Workshop. Alguns já acumulavam milhares ou dezenas de milhares de downloads antes da remoção.
“Descobrimos dezenas desses application wallpapers maliciosos circulando pelo Steam Workshop, e cada um já havia sido baixado milhares — ou até dezenas de milhares — de vezes.”
Kaspersky, relatório técnico citado pelo BleepingComputer
O que os criminosos conseguiam instalar
A análise mostrou que o malware no Steam Workshop não era uma única ameaça. Pesquisadores encontraram famílias como DarkKomet, Lumma, Vidar, RanEngine, loaders de botnet, mineradores de criptomoedas e variantes de ransomware. Isso indica que vários grupos criminosos abusaram do mesmo vetor de ataque.
- Backdoors: permitem acesso remoto persistente ao computador infectado.
- Infostealers: roubam credenciais, cookies, tokens e dados de contas Steam.
- Mineradores: usam CPU ou GPU da vítima para minerar criptomoedas.
- Ransomware: pode criptografar arquivos e exigir pagamento para liberação.
- Loaders: baixam novas cargas maliciosas após a primeira infecção.
Em um teste, a Kaspersky analisou um wallpaper que se passava por um jogo chamado NTRaholic. Ao ser executado, ele parecia funcionar normalmente, reduzindo a suspeita da vítima. Em segundo plano, porém, instalava um arquivo backdoor associado à família DarkKomet.
Roubo de contas Steam e credenciais
Além do backdoor, os pesquisadores encontraram uma versão modificada da biblioteca de sistema AggregatorHost.dll. O componente procurava contas Steam no computador e tentava capturar credenciais. Esse tipo de roubo é especialmente grave porque contas de jogos podem conter carteiras, inventários valiosos, itens negociáveis e dados pessoais.
O uso de infostealers como Lumma e Vidar amplia o impacto. Essas famílias são conhecidas por coletar senhas salvas em navegadores, tokens de sessão, dados de carteiras cripto e informações que facilitam sequestro de contas. Assim, o malware no Steam Workshop pode afetar não apenas a conta da Valve, mas também outros serviços usados no mesmo dispositivo.
Valve removeu os wallpapers, mas o risco continua
De acordo com a reportagem, a Steam identificou e removeu todos os wallpapers maliciosos apontados pela Kaspersky. Ainda assim, pesquisadores alertam que novos uploads podem aparecer, já que o modelo de conteúdo gerado por usuários depende de moderação constante e da atenção da comunidade.
Para reduzir riscos, usuários devem baixar itens apenas de fontes confiáveis, verificar comentários recentes, observar o histórico do criador e desconfiar de wallpapers que exigem abertura de arquivos externos. Também é recomendável manter antivírus atualizado e fazer varredura em qualquer conteúdo obtido no Steam Workshop.
| Sinal de alerta | Por que importa |
| Arquivo com senha | Pode esconder payload de antivírus e verificações automáticas. |
| Autor desconhecido | Aumenta o risco de pacote falso ou conteúdo clonado. |
| Execução inesperada | Wallpaper não deveria exigir ações fora do aplicativo. |
| Uso alto de CPU/GPU | Pode indicar minerador de criptomoedas em segundo plano. |
Como se proteger de wallpapers maliciosos
- Remova wallpapers recentes baixados de autores desconhecidos no Wallpaper Engine.
- Execute uma verificação completa com antivírus atualizado no Windows.
- Troque a senha da Steam e ative o Steam Guard, se houver suspeita.
- Revogue sessões ativas e verifique negociações, compras e alterações de e-mail.
- Evite abrir arquivos compactados ou executáveis incluídos em pacotes de wallpaper.
- Monitore consumo anormal de CPU, GPU, rede e processos desconhecidos.
Perguntas Frequentes sobre malware no Steam Workshop
O que é malware no Steam Workshop?
É código malicioso distribuído em conteúdo da comunidade. No caso recente, ele apareceu em wallpapers do Wallpaper Engine e podia roubar contas Steam.
Todo wallpaper do Wallpaper Engine é perigoso?
Não. O risco maior está em application wallpapers de autores desconhecidos, especialmente quando incluem executáveis, arquivos com senha ou instruções externas.
Quais malwares foram encontrados nos pacotes?
A Kaspersky citou DarkKomet, Lumma, Vidar, RanEngine, mineradores, loaders de botnet e ransomware em diferentes amostras analisadas.
Como saber se minha conta Steam foi roubada?
Verifique login desconhecido, itens sumindo, compras não reconhecidas, troca de e-mail, sessões suspeitas e alertas do Steam Guard.
Considerações finais
O caso mostra como plataformas legítimas de conteúdo gerado por usuários podem ser exploradas em ataques de cadeia de suprimentos. O malware no Steam Workshop usou a confiança na Steam e a popularidade do Wallpaper Engine para alcançar vítimas. Embora os itens identificados tenham sido removidos, a recomendação permanece: trate wallpapers executáveis como software, baixe apenas de fontes confiáveis e mantenha defesas ativas.
