Celem tych szkodników jest kradzież przedmiotów z gier online oraz danych uwierzytelniających konta użytkowników, a następnie odsprzedawanie ich na czarnym rynku. Trojany Steam Stealer są dystrybuowane do cyberprzestępców w ramach modelu biznesowego „szkodliwe oprogramowanie jako usługa” przy niezwykle niskiej cenie wynoszącej do 30 dolarów.

Steam to jedna z najpopularniejszych platform dystrybucji cyfrowej dla różnych systemów operacyjnych. Będąc własnością firmy Valve, posiada ponad 100 milionów zarejestrowanych użytkowników i kilka tysięcy gier dostępnych do pobrania na całym świecie. Z powodu swej popularności serwis ten stanowi atrakcyjny cel dla grup oszustów, którzy mogą sprzedać na czarnym rynku dane uwierzytelniające jednego użytkownika nawet za 15 dolarów. Według niedawno opublikowanych oficjalnych danych platformy Steam, każdego miesiąca ofiarą porwania konta lub kradzieży pada 77 000 użytkowników tej platformy.

Według Santiago Pontiroliego, badacza ds. bezpieczeństwa IT z Kaspersky Lab, i jego kolegi prowadzącego niezależne badania, Barta P, głównym podejrzanym o kradzież wielu kont użytkowników tej flagowej platformy Valve jest nowy rodzaj szkodliwego oprogramowania określany jako Steam Stealer. Obaj badacze uważają, że szkodnik ten został pierwotnie rozwinięty przez rosyjskojęzycznych cyberprzestępców — tezę tę potwierdza wiele tropów językowych na kilku cyberprzestępczych forach związanych ze szkodliwym oprogramowaniem.

Steam Stealer działa według modelu biznesowego „szkodliwe oprogramowanie jako usługa”: jest dostępny w sprzedaży w różnych wersjach, z różnymi funkcjami, darmowymi aktualizacjami do nowszej wersji, podręcznikami dla użytkowników, indywidualnymi radami dotyczącymi dystrybucji i nie tylko. Jeśli chodzi o tego rodzaju kampanie wykorzystujące szkodliwe oprogramowanie, zwyczajowa cena początkowa za „rozwiązania” oscyluje w granicach 500 dolarów amerykańskich. Jednak cena programów Steam Stealer jest śmiesznie niska, ponieważ wynosi nie więcej niż 30 dolarów. To właśnie sprawia, że omawiany szkodnik jest niezwykle atrakcyjny dla cyberprzestępców na całym świecie.

Steam Stealer jest rozprzestrzeniany głównie, ale nie wyłącznie, za pośrednictwem fałszywych sklonowanych stron internetowych dystrybuujących szkodliwe oprogramowanie lub za pomocą socjotechniki, w której ofiara jest atakowana wiadomościami e-mail.

Gdy szkodliwe oprogramowanie znajdzie się w systemie użytkownika, kradnie cały zestaw plików konfiguracyjnych platformy Steam. Następnie lokalizuje plik Steam KeyValue, który zawiera dane uwierzytelniające użytkownika, jak również informacje pozwalające utrzymać sesję gracza. Po otrzymaniu tych informacji cyberprzestępcy mogą kontrolować konto ofiary.

Kradzież kont graczy stanowiła kiedyś niewymagający wielu zasobów sposób szybkiego zarobienia pieniędzy, stosowany przez tzw. dzieciaki skryptowe, które sprzedawały je na forach cyberprzestępczych. Jednak przestępcy zdali sobie sprawę, jaka jest prawdziwa wartość rynkowa tych kont. Szansę na zarobek stanowi teraz kradzież i sprzedaż przedmiotów z gier, których wartość może sięgać tysięcy dolarów. Zorganizowani cyberprzestępcy po prostu nie chcą, aby tak duże pieniądze przeszły im koło nosa.

Eksperci z Kaspersky Lab wykryli niemal 1 200 próbek różnych programów Steam Stealer, które atakowały dziesiątki tysięcy użytkowników na całym świecie, zwłaszcza w Rosji oraz innych państwach Europy Wschodniej, w których platforma Steam jest niezwykle popularna.

„Społeczność graczy stała się niezwykle kuszącym celem cyberprzestępców. Obserwujemy wyraźną ewolucję w zakresie technik wykorzystywanych w celu infekcji i rozprzestrzeniania, jak również wzrost złożoności samego szkodliwego oprogramowania. Zważywszy na to, że konsole do gier otrzymują coraz więcej funkcji, a Internet Rzeczy znajduje się w zasięgu ręki, wygląda na to, że taki scenariusz wciąż będzie urzeczywistniał się i stawał się bardziej złożony. W Kaspersky Lab mamy nadzieję, że nasze badanie przerodzi się w ciągłe dochodzenie, wprowadzając tak potrzebną równowagę do ekosystemu gier. Bezpieczeństwo nie powinno być elementem, o którym twórcy myślą później, ale powinno być uwzględniane na wczesnym etapie procesu rozwoju gier. Uważamy, że współpraca międzybranżowa może pomóc poprawić sytuację” – powiedział Santiago Pontiroli, badacz ds. bezpieczeństwa IT, Globalny Zespół ds. Badań i Analiz (GReAT), Kaspersky Lab.

Kaspersky Lab wykrywa grupy trojanów Steam Stealer między innymi jako: Trojan.Downloader.Msil.Steamilik; Trojan.Msil.Steamilik; Trojan-psw.Msil.Steam. Cele tych trojanów zlokalizowane są na całym świecie, głównie w Rosji, Stanach Zjednoczonych, Europie (Francji i Niemczech), Indiach oraz Brazylii.

W celu zachowania bezpieczeństwa gracze powinni zaopatrzyć się w nowoczesne rozwiązanie bezpieczeństwa, aby móc bez obaw korzystać z ulubionych gier. Większość produktów tego typu posiada „tryb gracza”, dzięki czemu użytkownicy mogą czerpać satysfakcję z gry, nie otrzymując żadnych powiadomień aż do końca sesji. Pragnąc pomóc własnym użytkownikom zachować bezpieczeństwo, platforma Steam oferuje również kilka środków bezpieczeństwa pozwalających chronić konta.

Więcej informacji na temat trojanów Steam Stealer znajduje się na stronie http://r.kaspersky.pl/RR4H3.

Autor: Piotr Kupczyk, Kaspersky Lab