近期，威胁组织EncryptHub（Larva-208）通过入侵Steam平台上的生存制作游戏《Chemia》，向用户分发信息窃取类恶意软件。该组织将恶意二进制文件HijackLoader植入游戏，该程序随后下载并安装了信息窃取程序Vidar。攻击者还通过DLL文件植入Fickle Stealer，窃取浏览器存储数据，包括账户凭证、自动填充信息、Cookie及加密货币钱包数据。此次攻击利用了平台信任而非传统欺骗手段，且恶意软件在后台静默运行，玩家难以察觉。这已是Steam平台2025年第三起类似事件，表明其审核机制可能存在疏漏，用户在下载抢先体验阶段的游戏时应保持高度警惕。

🎮 **游戏《Chemia》成为恶意软件传播途径**：威胁组织EncryptHub通过入侵Steam平台上的生存制作类游戏《Chemia》，将恶意软件植入其中，并通过该游戏向不知情的用户分发信息窃取类恶意软件，显示了游戏平台已成为新的攻击目标。

💻 **多重恶意软件组合窃取用户数据**：攻击者首先植入HijackLoader，该程序建立持久化机制并下载Vidar信息窃取程序；随后又通过DLL文件植入Fickle Stealer，专门窃取浏览器存储数据，包括账户凭证、自动填充信息、Cookie及加密货币钱包数据，形成严密的窃取链条。

🛡️ **利用平台信任进行社会工程攻击**：此次攻击巧妙地利用了Steam平台的用户信任，将恶意文件伪装成合法程序，诱导用户在下载“测试版”游戏时，实际上下载的是恶意软件，这是一种高效的社会工程学陷阱。

⚠️ **Steam审核机制引担忧，用户需谨慎**：这是Steam平台2025年第三起类似恶意软件事件，且均发生在“抢先体验”阶段的游戏中，这可能表明Steam对开发中内容的审核机制存在疏漏。用户在下载此类游戏时，应保持高度警惕，并等待官方公告确认安全。

🕵️ **攻击者行为特殊，兼具恶意与负责任披露**：EncryptHub在黑客领域行为特殊，既会恶意利用Windows零日漏洞，也曾向微软披露关键漏洞，这种双重性增加了对其意图的复杂性解读。

HackerNews 编译，转载请注明出处：

威胁组织EncryptHub（又名Larva-208）通过入侵Steam平台游戏《Chemia》，向不知情用户分发信息窃取类恶意软件。

近日，该黑客组织将恶意二进制文件植入由“Aether Forge Studios”开发的生存制作类游戏《Chemia》中。该游戏目前以“抢先体验”形式登陆Steam，尚未公布正式发行日期。

据威胁情报公司Prodaft分析，攻击始于7月22日。EncryptHub在游戏文件中添加了恶意软件HijackLoader（文件名CVKRUTNP.exe），该程序在受害设备上建立持久化机制，并下载信息窃取程序Vidar（文件名v9d9d.exe）。研究人员发现，恶意软件通过某Telegram频道获取命令与控制（C2）服务器地址。

三小时后，攻击者再次通过DLL文件（cclib.dll）植入第二款恶意软件Fickle Stealer。该文件利用PowerShell脚本（worker.ps1）从域名soft-gets[.]com获取主载荷。Fickle Stealer专门窃取浏览器存储数据，包括账户凭证、自动填充信息、Cookie及加密货币钱包数据。该恶意软件去年曾被EncryptHub用于大规模鱼叉式钓鱼攻击，导致全球超六百家组织沦陷。

此威胁组织在黑客领域行为特殊：既恶意利用Windows零日漏洞，又曾向微软负责任的披露关键漏洞。Prodaft在报告中指出：“被篡改的可执行文件对Steam用户显示为合法程序，这种攻击依赖平台信任而非传统欺骗手段，形成高效的社会工程陷阱。当用户在免费游戏中点击《Chemia》的‘测试版’时，实际下载的是恶意软件。”

恶意软件在后台静默运行，不影响游戏性能，玩家难以察觉异常。目前尚不清楚EncryptHub如何将恶意文件植入游戏项目，推测可能有内部人员协助。游戏开发商未在Steam页面或社交媒体发布任何声明。

截至发稿，《Chemia》仍可于Steam下载，无法确认最新版本是否已清除恶意代码。建议用户等待Steam官方公告前避免接触该游戏。

此为Steam平台2025年第三起恶意软件事件：此前3月《Sniper: Phantom’s Resolution》与2月《PirateFi》均曾中招。三款游戏均为“抢先体验”阶段作品，表明Steam对此类内容的审核机制可能存在疏漏。用户下载开发中游戏时需保持警惕。

本次攻击的入侵指标（IOC）已公开。

 

 

 

---

消息来源：bleepingcomputer；

本文由 HackerNews.cc 翻译整理，封面来源于网络；

转载请注明“转自 HackerNews.cc”并附上原文