你下载的动态壁纸，可能正在窃取你的Steam账户

Wallpaper Engine是Steam平台上最受欢迎的软件之一，拥有超过2000万次下载。它的核心功能是让用户设置动态壁纸，通过Steam工作坊（Workshop）可以方便地浏览和订阅其他用户创建的壁纸内容。

一切看起来都很正常，直到安全研究人员发现了一个严重问题：某些工作坊内容被恶意代码污染，用户只需订阅这些壁纸，就能在不知情的情况下感染恶意软件。

这不是理论上的风险——已经有用户报告他们的Steam账户被劫持，个人数据被盗。

攻击原理：用户生成内容的信任陷阱

Steam工作坊允许用户创建和分享各种内容，包括壁纸、音效、甚至小游戏。这种用户生成内容（UGC）平台的优势是内容多样性，但劣势也同样明显——任何人都可以上传内容，平台审核往往跟不上。

攻击链：
攻击者创建一个看似正常的动态壁纸，壁纸中包含恶意的JavaScript代码或可执行文件，用户通过Steam工作坊订阅并下载，Wallpaper Engine运行壁纸时执行恶意代码，恶意代码窃取Steam账户凭证或其他敏感信息。

这个攻击特别危险，原因有几个：用户倾向于信任Steam工作坊的内容，认为通过官方平台审核的内容是安全的；恶意代码隐藏在壁纸文件中，用户很难察觉；一个热门壁纸可以在短时间内被大量用户下载；Steam账户被盗不仅意味着游戏损失，还可能涉及支付信息和好友列表。

恶意软件的具体行为

根据安全研究，受感染的Wallpaper Engine内容可能执行以下恶意操作：

账户窃取：监控键盘输入，捕获Steam登录凭证；拦截浏览器Cookie，窃取会话令牌；读取本地保存的Steam账户信息。

数据泄露：扫描文件夹，寻找敏感文件；将文件上传到攻击者的服务器；截屏并发送攻击者。

勒索软件：加密本地文件，要求支付赎金才能解密，威胁公开敏感数据。

挖矿程序：占用系统资源进行加密货币挖掘，导致电脑性能下降，增加硬件损耗。

如何保护自己

如果你使用Wallpaper Engine，请立即采取以下措施：

检查已订阅内容：打开Wallpaper Engine，进入”工作坊”标签，查看已订阅的内容列表，移除任何可疑或来源不明的壁纸。

更改Steam密码：立即更改你的Steam账户密码，启用Steam手机验证器，检查账户的登录历史和活动。

扫描恶意软件：使用可靠的杀毒软件进行全面扫描，检查浏览器扩展，移除不熟悉的插件，清理浏览器的Cookie和缓存。

长期防护方面，优先订阅高评分、下载量大的内容，查看创作者的其他作品评价，对来自不明创作者的内容保持警惕。启用Steam手机验证器、两步验证（2FA）、交易确认。定期检查Steam账户的活动日志，查看已授权的应用程序列表，撤销不再需要的API密钥。

事件背景与影响

这一安全问题是由安全研究人员在分析Steam工作坊内容时发现的。他们注意到某些壁纸文件包含可疑的JavaScript代码和外部资源加载。

由于Wallpaper Engine的广泛使用，受影响的用户数量可能非常庞大。虽然并非所有壁纸都包含恶意代码，但只要有少量用户下载了受感染的内容，就足以造成严重的后果。

这个问题也引发了对Steam工作坊内容审核机制的讨论。作为Valve运营的最大的PC游戏平台，Steam有责任确保其用户生成内容平台的安全性。

用户生成内容平台的安全挑战

Wallpaper Engine恶意软件事件揭示了用户生成内容平台面临的普遍挑战：平台无法手动审核所有内容，自动检测系统可能无法识别所有恶意代码，平台更关注内容数量和用户体验而非安全，用户倾向于快速下载和使用内容而非仔细审查。

这个问题不仅限于Steam和Wallpaper Engine。Unity Asset Store、WordPress插件目录、npm包、Android/iOS应用商店都存在类似的风险。

安全与便利的平衡

这个事件再次提醒我们，在数字世界中，便利性和安全性往往需要权衡。用户生成内容平台提供了极大的便利，但也引入了安全风险。

谁应该为这类安全事件负责？平台方应该加强内容审核和安全检测，开发者应该确保自己的软件有足够的安全检查，用户应该保持警惕，不盲目信任所有内容。

未来的改进方向可能包括：利用AI和机器学习自动检测恶意内容，要求内容创作者对其作品进行数字签名，在隔离环境中运行用户上传的内容，提高用户对UGC安全风险的认识。

总结

Wallpaper Engine恶意软件事件是一个警示：在享受用户生成内容带来的便利时，我们不能忽视潜在的安全风险。

即使是知名平台和热门应用，也可能存在安全隐患。用户生成内容需要保持警惕，不要盲目信任。启用多层安全防护，定期检查和审计你的账户安全设置。

2000万下载量的应用被用来传播恶意软件，这个数字本身就说明了问题的严重性。安全不是一次性的设置，而是一个持续的过程。保持警惕，定期检查，才能在数字世界中保护自己。

来源：MakeUseOf