Ärger bei Steam: Game-Mod zum Einschleusen von Malware missbraucht

Eine Fan-Erweiterung für das beliebte Indie-Strategiespiel "Slay the Spire" wurde am ersten Weihnachtsfeiertag gehackt und zur Verteilung von Malware benutzt. Das hat der Entwickler des Game-Mods "Downfall" bestätigt und warnt nun vor einer möglichen Gefahr.

Manipuliertes Download-Paket

Die Angreifer haben die Steam- und Discord-Konten eines der Entwickler von Downfall kompromittiert, wodurch sie die Kontrolle über das Steam-Konto der angebotenen Modifikation erlangen konnten. Durch eine Sicherheitslücke konnte ein bösartiger Upload das Paket von Downfall ersetzen. Darin enthalten ist die Malware "Epsilon Stealer".

Sobald die Malware auf einem kompromittierten Computer installiert ist, sammelt sie Cookies und gespeicherte Passwörter und Kreditkarten von Webbrowsern (Google Chrome, Yandex, Microsoft Edge, Mozilla Firefox, Brave, Vivaldi) sowie Informationen von Steam und Discord.


Wie der Entwickler Michael Mayhem gegenüber dem Online-Magazin Bleeping Computer erklärte, handelt es sich bei dem kompromittierten Paket um eine eigenständige, modifizierte Version des Originalspiels.

"Eines unserer Geräte wurde von einer Malware befallen, die von unserem Sicherheitssystem nicht erkannt oder blockiert wurde. Soweit mir derzeit bekannt ist, handelte es sich nicht um eine Malware, die Passwörter stiehlt, da 2FA dies nicht auslöste oder verhinderte, und die kompromittierten Konten hatten alle unterschiedliche E-Mail-Adressen (und keine dieser Adressen wurde gestohlen)", sagte Mayhem gegenüber Bleeping Computer.

Er fügte allerdings hinzu, dass er nicht mit absoluter Sicherheit Einzelheiten sagen könne, bevor er nicht eine professionelle Einschätzung über den Sicherheitsvorfall erhalten habe.

Malware tarnt sich als Windows Boot Manager

Die Entwickler haben das Problem schnell in den Griff bekommen - allerdings sollten Nutzer, die den Game-Mod am 25. Dezember gestartet und ein Pop-up-Fenster zur Installation der Unity-Bibliothek erhalten haben, nun vorsichtig sein.

Nutzer, die das schädliche Update erhalten haben, berichteten, dass sich die Malware als Windows Boot Manager-Anwendung im Ordner AppData oder als UnityLibManager im Ordner /AppData/Roaming installiert.

Dass Downfall alleinig betroffen ist, kann man im übrigen fast ausschließen - laut Auswertungen von VirusTotal ist es wahrscheinlich, dass der Bedrohungsakteur hinter diesem Angriff auch andere Spiele und Spieleentwickler ins Visier genommen hat.
Siehe auch: