Malware ontdekt in Steam Workshop-downloads: cryptowallets van gebruikers doelwit

Cybersecurityonderzoekers hebben malware ontdekt in downloads van Steam Workshop, het populaire platform van gamewinkel Steam. Volgens onderzoekers van Kaspersky werden verschillende wallpapers verspreid via Wallpaper Engine gebruikt om schadelijke software te installeren die cryptowezels kan leegroven en computers kan inzetten voor cryptomining.

De besmette bestanden werden duizenden tot tienduizenden keren gedownload voordat ze van het platform werden verwijderd. Naast gebruikers in China en Rusland werden ook slachtoffers aangetroffen in onder meer Duitsland, Canada, India, Singapore, Vietnam en Hongkong.

Kaspersky ontdekt malware in Wallpaper Engine-downloads

De aanval maakte gebruik van Wallpaper Engine, een populaire Steam-applicatie waarmee gebruikers geanimeerde en interactieve bureaubladachtergronden kunnen downloaden. Kaspersky ontdekte dat meerdere wallpapers verborgen malware bevatten die ongemerkt op computers van gebruikers werd geïnstalleerd.

Onder de aangetroffen malware bevonden zich zogenoemde infostealers, programma’s die gevoelige informatie verzamelen en doorsturen naar cybercriminelen. Ook werd de malware-loader ReEngine aangetroffen, die extra schadelijke software op systemen kan installeren.

Doordat Steam Workshop door miljoenen gebruikers wordt gezien als een betrouwbaar platform, konden de besmette downloads zich relatief eenvoudig verspreiden.

Cryptowallets en persoonlijke gegevens gestolen

Volgens Kaspersky richtte een deel van de malware zich specifiek op cryptobezitters. Zo kon de bekende Lumma-infostealer gegevens verzamelen uit populaire cryptowallets zoals MetaMask, Electrum en Exodus.

Daarnaast was de malware in staat om opgeslagen wachtwoorden, browsergegevens, privésleutels en andere gevoelige informatie te verzamelen die toegang kan geven tot cryptovaluta van slachtoffers.

Ook ReEngine beschikt over functionaliteiten waarmee gegevens uit cryptowallets kunnen worden buitgemaakt. Deze malware werd eerder al aangetroffen in illegale game-launchers voor populaire titels zoals Assassin’s Creed, FIFA en Need for Speed.

Verborgen cryptominers vertragen computers

Naast het stelen van gegevens installeerden sommige besmette downloads ook cryptominers. Deze software gebruikt ongemerkt de rekenkracht van een computer om cryptovaluta te genereren voor de aanvallers.

Gebruikers merken dergelijke malware vaak pas op wanneer hun computer aanzienlijk trager wordt. Andere signalen zijn een voortdurend hoge processorbelasting, luid draaiende ventilatoren en een hoger stroomverbruik.

Steam verwijdert kwaadaardige downloads

De geïnfecteerde wallpaperpakketten werden volgens Kaspersky duizenden tot tienduizenden keren gedownload voordat de dreiging werd ontdekt. Het beveiligingsbedrijf vermoedt dat meerdere cybercriminelen verantwoordelijk waren voor de campagne en niet één georganiseerde hackersgroep.

Valve, het bedrijf achter Steam, heeft inmiddels alle geïdentificeerde schadelijke wallpapers van Steam Workshop verwijderd.

Toename van malware gericht op cryptobezitters

Het incident past binnen een bredere trend waarbij cybercriminelen zich steeds vaker richten op gebruikers van cryptovaluta. Omdat digitale bezittingen vaak direct kunnen worden overgemaakt en moeilijk terug te halen zijn, vormen cryptowallets een aantrekkelijk doelwit.

Eerder werd in 2023 al malware ontdekt in een populaire door fans gemaakte versie van Super Mario Bros. Die software installeerde eveneens infostealers en cryptominers en verzamelde persoonlijke gegevens van gebruikers.

In 2025 klaagden Amerikaanse autoriteiten daarnaast zestien personen aan die betrokken zouden zijn geweest bij een grootschalige malware-as-a-service-operatie. Volgens justitie werd hun software gebruikt om meer dan 300.000 computers wereldwijd te infecteren, met een geschatte schade van ongeveer 50 miljoen dollar tot gevolg.

Het recente Steam-incident laat opnieuw zien dat cybercriminelen steeds vaker misbruik maken van populaire platforms om malware te verspreiden. Ook downloads afkomstig van bekende diensten zijn daardoor niet automatisch veilig.