Ausnutzung von sozialem Vertrauen in Gaming-Communitys
Die PC-Gaming-Kultur stützt sich seit jeher auf gemeinschaftliche Projekte: von Nutzern entwickelte Modifikationen (Mods), inoffizielle Übersetzungspatches und Testrunden für Indie-Spiele. Cyberkriminelle haben jedoch erkannt, dass Spieler für die Installation von Mods oder Leistungspatches routinemäßig administrative Rechte erteilen und Sicherheitswarnungen ihres Virenscanners ignorieren.
Dieses Verhalten begünstigt die Verbreitung von Infostealer-Malware (wie LummaC2, Stealc, RedLine und Vidar). Anders als Ransomware, die Festplatten verschlüsselt und Lösegeld verlangt, arbeitet ein Infostealer vollkommen unbemerkt. Innerhalb von weniger als 15 Sekunden werden Sitzungs-Cookies aus Webbrowsern, Discord-Zugriffstoken, Steam-Anmeldedaten, Passwörter und Krypto-Wallets extrahiert, bevor sich die Schadsoftware selbst löscht.
Vergleichsmatrix verbreiteter Infektionswege bei PC-Spielen
Die Gegenüberstellung der primären Verbreitungskanäle verdeutlicht die unterschiedlichen Risiken:
| Verbreitungsweg | Typische Malware-Familie | Vorrangig erbeutete Daten | Zeit bis zum Datenabfluss | Erkennungsrate auf VirusTotal | Dringlichkeitsstufe |
|---|---|---|---|---|---|
| Gefälschte Discord-Playtests | LummaC2 / Stealc | Browser-Cookies, Discord-Token, Steam-Sitzung | 5 bis 15 Sekunden | Extrem gering (stark verschleierte Packer) | Sofortige Notfallmaßnahme erforderlich |
| Manipulierte Mod-Updates | Vidar / RedLine | Gespeicherte Passwörter, Krypto-Wallets | 10 bis 30 Sekunden | Mittel (nach Stunden von Virenscannern erkannt) | Hoch (Mod-Ordner löschen, Passwörter ändern) |
| Gefälschter Mod-Installer (.bat/.cmd) | Dropper-Trojaner | Lädt nachgelagerte Schadsoftware im Hintergrund | 20 bis 60 Sekunden | Hoch (Heuristik schlägt bei verdächtigen Skripten an) | Hoch (Autostart und Aufgabenplanung prüfen) |
| Raubkopien via Torrent | Krypto-Miner & Infostealer | Rechenleistung und persönliche Kontodaten | Dauerhaft aktiv | Hoch (wird von Nutzern oft als Fehlalarm abgetan) | Schwerwiegend (Neuinstallation ratsam) |
Wie der gefälschte Playtest-Scam auf Discord abläuft
Die derzeit gefährlichste Masche nutzt Social Engineering über kompromittierte Konten aus:
- Übernahme eines bekannten Kontos: Der Angreifer übernimmt das Discord-Konto eines Nutzers aus Ihrer Freundesliste oder von einem gemeinsamen Server.
- Vertrauensvolle Kontaktaufnahme: Über das gekaperte Konto wird eine persönliche Direktnachricht verschickt:
„Hi! Ich habe mit Freunden aus der Uni ein kleines 2D-Indie-Spiel für einen Game Jam entwickelt. Hättest du kurz 5 Minuten Zeit, es anzutesten und mir Feedback zur Performance zu geben?“ - Umgehung von Virenscannern: Da Discord hochgeladene Dateien scannt, verlinkt der Angreifer auf Google Drive oder Mega und schützt das Archiv mit einem Passwort (z. B.
1234). Die Verschlüsselung verhindert, dass Cloud-Virenscanner die Datei prüfen können. - Täuschend echte Fehlermeldung: Beim Start von
Game_Setup.exeerscheint ein gefälschter Absturzdialog von Unity oder der Unreal Engine:
Der Nutzer vermutet ein Treiberproblem und schließt das Fenster arglos.UnityPlayer.dll: Failed to initialize graphics device. Direct3D 11 feature level 11.0 is required. - Lautloser Datenraub im Hintergrund: Während der Dialog sichtbar ist, liest die Malware in
%LOCALAPPDATA%\Temp\bereits die Browser-Datenbanken von Chrome, Edge und Brave aus, kopiert den Discord-Token aus%APPDATA%\discord\Local Storage\leveldbund überträgt das Archiv über eine Telegram-Bot-Schnittstelle an den Angreifer.
2-Minuten-Praxisleitfaden zur Erkennung von Infostealern
Haben Sie eine verdächtige Datei geöffnet, führen Sie vor der Trennung vom Internet diese Prüfungen durch:
-
Aktive ausgehende Netzwerkverbindungen prüfen: Öffnen Sie PowerShell als Administrator und prüfen Sie bestehende Verbindungen:
Get-NetTCPConnection -State Established | Where-Object { $_.RemotePort -in 80, 443, 8080, 7777, 8443 } | Select-Object OwningProcess, RemoteAddress, RemotePortGleichen Sie verdächtige Prozess-IDs (PIDs) im Task-Manager ab, um unbekannte Programme zu identifizieren, die mit externen Adressen kommunizieren.
-
Digitale Signatur von Dateien kontrollieren: Starten Sie niemals unsignierte Programmdateien aus unbekannten Quellen. Prüfen Sie dies via PowerShell:
Get-AuthenticodeSignature -FilePath "C:\Pfad\Zur\Datei.exe"Wird
NotSignedoderHashMismatchgemeldet, ist höchste Vorsicht geboten. -
Autostart und Aufgabenplanung untersuchen:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" Get-ScheduledTask | Where-Object { $_.Author -eq $null -or $_.TaskPath -like "*Temp*" }
Notfallmaßnahmen bei Infektion
Wurde ein Infostealer ausgeführt, ist es zwecklos, Passwörter auf demselben Rechner zu ändern, da Keylogger neue Eingaben sofort mitschneiden.
- Netzwerkverbindung sofort trennen: Ziehen Sie das Netzwerkkabel ab oder deaktivieren Sie das WLAN.
- Sicherung über ein separates, sauberes Gerät (z. B. Smartphone):
- Melden Sie sich auf allen Geräten bei Steam, Discord, Google und Microsoft ab.
- Ändern Sie die Hauptpasswörter Ihrer zentralen Konten.
- Schalten Sie bei Discord die Zwei-Faktor-Authentifizierung (2FA) kurz ab und sofort wieder ein (nur dies macht den gestohlenen Token ungültig).
- Betriebssystem sauber neu installieren: Da moderne Schädlinge tief in Systemstrukturen eingreifen, ist eine vollständige Formatierung und Neuinstallation über einen offiziellen Windows-USB-Stick der einzig sichere Weg.
365Finds Sicherheits- und Playtest-Auditor
Nutzen Sie vor dem Start fremder Programmdateien oder Mods den 365Finds Sicherheits- und Playtest-Auditor. Das Werkzeug analysiert digitale Signaturen, gleicht Dateien mit bekannten Infostealer-Signaturen ab und bietet eine Schritt-für-Schritt-Prüfung zum Schutz Ihrer Konten vor dem Ausführen unbekannter Dateien.