Steam-Workshop missbraucht: Wallpaper Engine liefert Malware und Krypto-Miner

Sicherheitsforscher warnen vor Malware, die über den Steam Workshop als Wallpaper-Pakete in „Wallpaper Engine“ eingeschleust wird. Betroffene Wallpaper enthalten teils ausführbare Bestandteile oder verstecken Payloads in passwortgeschützten Archiven, die beim Installieren automatisch starten. Dadurch können Angreifer Steam-Konten kapern, Backdoors installieren und sogar Krypto-Mining oder Infostealer ausführen. Wichtig: Steam hat zwar bereits bekannte schädliche Wallpaper entfernt, doch die Täter rechnen offenbar mit Nachlieferungen.

Was auf den ersten Blick nach harmloser Personalisierung klingt, entpuppt sich aus Sicht der Security als echter Angriffsvektor: Angreifer nutzen den Steam Workshop, um schädliche Inhalte als „Wallpaper“ zu tarnen. Konkret geht es um Wallpaper Engine, eine Desktop-Customizing-Software, die Community-Erstellungen aus dem Steam-Ökosystem in Video-, Interaktions- oder App-ähnliche Hintergründe überführt. In der Praxis wird genau diese Brücke zwischen Community-Content und laufendem System missbraucht. Für Unternehmen ist das besonders relevant, weil die Verteilung nicht über klassische Download-Portale läuft, sondern über eine Nutzerbasis, die automatisch neue Inhalte installiert, häufig ohne saubere Paketprüfung.

Technisch bemerkenswert ist dabei vor allem die Funktion „Application Wallpapers“. Wallpaper Engine behandelt dabei „aktive Fenster“ von Windows-Programmen als Desktop-Hintergrund. Diese Fähigkeit macht die Software komfortabel, erhöht aber auch die Angriffsfläche: Unter der Haube können ausführbare Windows-Anwendungen als Wallpaper getarnt werden. Die Sicherheitsforscher berichten, dass Angreifer seit mindestens Ende 2025 gezielt Wallpaper-Dateien in den Steam Workshop hochladen und Nutzer zum Installieren über Wallpaper Engine verleiten. Sobald ein betroffener Inhalt installiert ist, startet die Payload offenbar automatisch, was die typische „User-in-the-loop“-Hürde senkt und die Detektion erschwert.

Ein zentraler Mechanismus ist das Bundling von Malware direkt im Wallpaper-Paket oder in Passwort-geschützten Archiven, die beim Nutzer Öffnungs- oder Installationsschritte auslösen. In einem getesteten Beispiel, das als Spiel getarnt war, zeigte sich ein scheinbar erwartetes Verhalten, um Misstrauen zu vermeiden. Gleichzeitig wird im Hintergrund eine Komponente aus der DarkKomet-Malware-Familie abgelegt und ausgeführt. Zusätzlich berichten die Forscher von einer speziell angepassten Systembibliothek namens „AggregatorHost.dll“, die darauf abzielt, Steam-Konten auf dem Rechner zu finden und Zugangsdaten abzugreifen. Für Security-Teams ist das ein klares Signal, dass das „Wallpaper“-Label nicht als Risikoindikator reicht.

Markt- und Wettbewerbsdynamik kommt hier besonders hinzu, weil Steam und seine Content-Community eine Reichweite liefern, die klassische Kampagnen viel stärker auf kleinere Zielgruppen begrenzt. In ähnlichen Kontexten haben Sicherheitsvorfälle rund um Modding-Plattformen und Content-Repositorys gezeigt, dass Community-Uploads schnell zum Lieferkettenproblem werden, wenn die Signatur- oder Integritätsprüfung schwach ist. Als Gegenbeispiel dient oft der Ansatz, vertrauenswürdige Quellen stärker zu priorisieren und riskante Ausführungsmodi einzuschränken. Branchenberichte ordnen die aktuelle Lage in eine größere Trendlinie ein: Angreifer bewegen Payloads dorthin, wo Benutzer wenig Widerstand leisten. Selbst wenn eine Plattform bereits gefundene schädliche Inhalte entfernt, können Täter den Zyklus unmittelbar fortsetzen.

Konkrete Effekte reichen laut den vorliegenden Analysen von Account-Hijacking über Backdoors bis hin zu Kryptomining. Zusätzlich werden Infostealer wie Lumma und Vidar sowie Botnet-Loader genannt; ebenso tauchen Hinweise auf RanEngine und selbst Erpressungsvarianten auf. Dass mehrere Malware-Familien in diesem Kanal beobachtet wurden, spricht für eine wiederverwendbare „Abwurf“-Logik, nicht für einen einzelnen, einmaligen Fehlversuch. Für Experten ist das auch deshalb kritisch, weil erfolgreiche Angriffe nicht nur durch die Payload selbst entstehen, sondern durch die Lücken in Monitoring und Incident-Response: Wenn SIEM- und EDR-Regeln zu granular oder zu spät greifen, können Events im Alltag untergehen. Hier passt die verbreitete Erkenntnis aus Security-Testing: Simulation und gezielte Coverage prüfen, ob Detektionslogik wirklich die relevanten Ketten erkennt, bevor sie „aus dem Feld“ kommt.

Für die Zukunft erwarten Security-Teams vermutlich eine Fortsetzung des Missbrauchs, weil das Modell relativ skalierbar ist: Community-Plattformen bieten schnelle Verteilung, Wallpaper Engine liefert die Ausführungsschnittstelle, und Nutzer installieren „kreative“ Pakete aus Gewohnheit. Steam hat bereits schädliche Application-Wallpaper identifiziert und entfernt; dennoch ist die zentrale Empfehlung, Downloads aus dem Workshop nicht blind zu vertrauen. Unternehmen sollten deshalb nicht nur auf aktuelle Antivirus-Engines setzen, sondern auch Content-Integrität und ausführungsnahe Logik genauer betrachten. Praktisch heißt das, dass gerade Systeme mit vielen Nutzern und Shared-Workflows die Installation solcher Inhalte stärker abbilden sollten. Als technische Gegenmaßnahme bietet sich ein strengerer Kontrollrahmen für ausführbare Wallpaper-Varianten an, während Nutzer im privaten Umfeld zumindest jedes neue Workshop-Paket aktiv scannen und auf verdächtige Paket-/Archivaufforderungen achten. So wird der Kanal zwar nicht „ausgeknipst“, aber das Risiko sinkt spürbar, bevor Angreifer neue Varianten nachschieben.

Das heißt, vertaut nicht jedem Wallpaper das ihr bei Wallpaper Engine findet. 
Nutzt alles mit bedacht!