Steam創(chuàng)意工坊上數(shù)十個看起來人畜無害的壁紙包，下載量加起來破了好幾萬，結(jié)果被爆出里頭藏著惡意程序，專門盯著玩家的賬號下手。這消息是卡巴斯基捅出來的，數(shù)據(jù)一擺，我第一反應(yīng)是——那些年我們隨手點下載的動態(tài)壁紙，可能正在后臺默默偷東西。

事情得從Wallpaper Engine說起。這是Steam上一個相當(dāng)熱門的應(yīng)用，能讓桌面跑起來，換上動態(tài)或可交互壁紙，很多人拿它給電腦“氪皮膚”。但這些花里胡哨的壁紙，本質(zhì)上是一個個可執(zhí)行的Windows程序，它們會在系統(tǒng)里跑代碼?？ò退够难芯咳藛T發(fā)現(xiàn)，就是這一點被攻擊者利用了個徹底。黑客把惡意軟件打包進壁紙包，上傳到Steam創(chuàng)意工坊，然后等著用戶自己上門下載。一旦你裝了那個壁紙包，你以為桌面變酷了，其實后臺已經(jīng)悄悄啟動了一個偷號程序。

調(diào)查里提到，這些被動了手腳的壁紙包有數(shù)十個，其中一些下載量是以萬為單位的。受害者分布比想象中更廣，重點目標(biāo)是中國和俄羅斯的Steam用戶，但新加坡、香港、德國、加拿大也有案例冒出來。卡巴斯基給出的判斷很直接：這不是某個倒霉蛋的偶發(fā)事故，而是一波有明確方向的攻擊，主要奔著Steam賬號來的，順手還會偷點別的敏感信息。

技術(shù)細(xì)節(jié)聽著就讓人后背發(fā)涼。攻擊者不是簡單地在壁紙包里塞個病毒文件，而是把惡意程序藏在有密碼保護的壓縮文件里，等安裝的時候自動解壓執(zhí)行。用戶全程無感知，連報毒提示都不一定彈，因為壁紙本身是“合法”運行的?？ò退够鶑娬{(diào)，不能把鍋直接扣在Wallpaper Engine或Steam頭上，這些惡意包不是官方做的，而是有人借著社區(qū)創(chuàng)意工坊的開放體系渾水摸魚。但有個關(guān)鍵前提得說清楚：只有下載了那些互動、動態(tài)類型的壁紙才有這個風(fēng)險，靜態(tài)圖片不涉及可執(zhí)行代碼，不受影響。

如果我們拆開這件事，會發(fā)現(xiàn)它剛好卡在一個非常別扭的位置：一邊是玩家對桌面?zhèn)€性化越來越高的需求，動態(tài)壁紙、交互效果、音效聯(lián)動這些東西確實能把桌面從工具變成玩具；另一邊是任何能執(zhí)行外部代碼的軟件機制都必然附帶的安全敞口。Wallpaper Engine允許用戶提交作品到創(chuàng)意工坊，審核機制主要盯版權(quán)和界面規(guī)范，對這種深藏在壓縮包里的惡意邏輯很難逐行排查。而從用戶習(xí)慣來看，大多數(shù)人在Steam創(chuàng)意工坊里看到評分高、下載量大的內(nèi)容，警惕性會直線下降，畢竟“幾萬人都用了能有啥事”的心理很常見。于是兩邊的縫隙一結(jié)合，就形成了這條盜號通道。

攻擊者圖什么也很清楚。Steam賬號連著游戲庫、庫存道具、市場交易記錄，一個有價值的賬號被抓到，可以直接被轉(zhuǎn)賣或者洗裝備?？ò退够€提到，有部分案例里除了偷Steam憑證，還發(fā)現(xiàn)有其他信息竊取程序被一并裝入，能順走瀏覽器保存的密碼、輕錢包信息之類的。等于說你裝錯一個壁紙，可能丟的不只是一個游戲號，而是一串?dāng)?shù)字身份。

這件事爆出來之后，PCGamesN說已經(jīng)聯(lián)系了Wallpaper Engine和Valve，想聽聽官方態(tài)度，但目前兩邊都還沒有公開回應(yīng)。站在玩家視角，我們一時半會兒看不到平臺端會有什么動作，但卡巴斯基的提醒倒是很務(wù)實：就算是那些你一直覺得靠譜的平臺，一樣可能被當(dāng)成分發(fā)惡意軟件的跳板。下載任何應(yīng)用類內(nèi)容，別只看表面安全，尤其是那些能自動跑代碼的東西，手速慢一點，多掃一眼評論區(qū)，翻翻作者的歷史記錄，能避不少坑。

另一個值得提的關(guān)聯(lián)事件是，最近Minecraft社區(qū)也被黑客盯上了。攻擊者通過仿冒客戶端和mod包傳播惡意軟件，感染人數(shù)超過十萬，受害者的電腦能被遠(yuǎn)程操控，攝像頭、文件管理權(quán)都能被劫走。兩件事放一起看，指向的不是某一個平臺的漏洞，而是“游戲社區(qū)內(nèi)容”這個生態(tài)本身的脆弱性。只要存在用戶自由上傳、下載、執(zhí)行內(nèi)容的機制，就總有人在暗處把信任轉(zhuǎn)化成攻擊入口。

對普通玩家來說，這種新聞容易讓人走向兩個極端：要么覺得處處是坑，干脆什么第三方內(nèi)容都不敢碰；要么覺得倒霉的永遠(yuǎn)是別人，和自己沒關(guān)系。但現(xiàn)實可能卡在中間——動態(tài)壁紙確實讓電腦更好玩，社區(qū)創(chuàng)意也值得被看見，只是在下一次雙擊那個“熱門訂閱”之前，我們可以把這件事當(dāng)成一個不大不小的提醒：它不是官方應(yīng)用本身有毒，而是開放生態(tài)里的某個角落藏了壞東西。這聽著不熱血，也不是那種讓人立刻想沖進游戲的事，但它實實在在地幫你看好那個裝了幾百款游戲的賬號。