Der Steam Workshop dient auf Valves Gaming-Plattform Steam als Austauschplatz für nutzergenerierte Inhalte. Dort laden Anwender unter anderem Mods, Karten, Skins, Spielstände, Werkzeuge und Wallpaper herunter. Nach Angaben von Kaspersky haben Angreifer diese Infrastruktur genutzt, um präparierte Wallpaper-Pakete für Wallpaper Engine bereitzustellen und Nutzer zur Installation zu verleiten.
Wallpaper Engine unterstützt vier Arten von Hintergründen: Videos, interaktive Szenen, Webseiten mit Audio- und Videowiedergabe sowie Anwendungen. Gerade diese Anwendungs-Wallpaper sind laut Kaspersky der kritische Punkt, weil es sich dabei um ausführbare Windows-Programme handeln kann, etwa Spiele, Desktop-Widgets oder Werkzeuge zur Systemüberwachung.
Die Forscher schreiben, dass die Schadsoftware entweder direkt in den Paketen enthalten war oder in passwortgeschützten Archiven steckte, deren Öffnung den Nutzern untergeschoben wurde. Nach der Installation des Wallpapers werde die Nutzlast automatisch ausgeführt.
Bei einem von Kaspersky untersuchten Beispiel gab sich das Wallpaper als Spiel mit dem Namen NTRaholic aus. Beim Start verhielt sich die Anwendung wie erwartet, offenbar um Misstrauen zu vermeiden. Im Hintergrund wurde jedoch eine Backdoor-Datei aus der Malware-Familie DarkKomet installiert.
Zusätzlich fanden die Forscher eine angepasste Version der Systembibliothek „AggregatorHost.dll“. Diese suchte auf dem kompromittierten Rechner nach Steam-Konten und sollte Zugangsdaten stehlen. Kaspersky beobachtete darüber hinaus weitere Fälle mit anderen Malware-Familien, darunter die Infostealer Lumma und Vidar, Kryptominer, Botnet-Loader, RanEngine und sogar Ransomware-Varianten. Das deute darauf hin, dass mehrere Tätergruppen Wallpaper Engine über den Steam Workshop missbraucht haben.
Laut Bericht nutzen die Angreifer diese Sicherheitslücke seit mindestens Ende 2025. Kaspersky spricht von dutzenden schädlichen Anwendungs-Wallpapern im Steam Workshop, die jeweils bereits tausende oder sogar zehntausende Downloads erreicht hatten.
Steam hat nach Angaben des Berichts alle von Kaspersky identifizierten schädlichen Wallpaper-Anwendungen erkannt und entfernt. Die Forscher warnen jedoch, dass Angreifer voraussichtlich neue Einreichungen nachschieben werden. Kaspersky empfiehlt Nutzern außerdem, aus Steam Workshop geladene Inhalte mit einer aktuellen Antivirenlösung zu prüfen und möglichst nur aus vertrauenswürdigen Quellen zu beziehen.