Matrix für Supply-Chain-Angriffe und Schadcode im Steam Workshop
Der Steam Workshop hostet unzählige Community-Erweiterungen für Sandbox-Titel wie Garry's Mod oder Project Zomboid. Angreifer kapern die Software-Lieferkette, indem sie verlassene beliebte Mods erwerben oder Entwickler-Accounts hacken, um bösartige Updates auszurollen. Diese landen unbemerkt im Hintergrund auf den Rechnern der Spieler, wo obfuskierte Lua-Skripte Discord-Tokens, Browser-Cookies und Steam-Sitzungsdaten abgreifen.
| Angriffsvektor | Ausführungsmechanismus | Ziel-Assets | Typische Alarmsignale |
|---|---|---|---|
| Obfuskierte Lua-Skripte | Base64/XOR-Ketten mit RunString dynamisch ausgeführt | Discord-Tokens, Browser-Passwörter | Antivirensoftware meldet Funde in Addon-Ordnern |
| Versteckte HTTP-Exfiltration | http.Fetch / http.Post zu unbekannten C2-Servern | Steam-Cookies, IP-Adresse, Hardware-ID | Ausgehender Netzwerkverkehr im Einzelspieler |
| Binärer Dropper (.dll / .exe) | Lua ruft externe DLLs für Malware-Nachladung auf | Vollständige Systemkompromittierung | Windows Defender blockiert DLL-Dateien |
| Automatische Workshop-Updates | Silent-Deployment über kompromittierten Entwickler | Unbemerkte Ausführung ohne Vorwarnung | Abstürze oder seltsame Pop-ups beim Serverbeitritt |
Schritt 1: Lokalen Workshop-Cache auf verdächtige Skripte prüfen
Abonnierte Inhalte liegen in nummerierten Unterordnern Ihrer Steam-Bibliothek:
- Das Workshop-Verzeichnis aufrufen:
[SteamLibrary]\steamapps\workshop\content\[AppID]\
(Die AppID für Garry's Mod lautet beispielsweise 4000).
2. PowerShell öffnen und alle Lua-Dateien nach gefährlichen Funktionen durchsuchen:
Get-ChildItem -Path "[SteamLibrary]\steamapps\workshop\content\4000" -Recurse -Filter "*.lua" | Select-String -Pattern "compilestring", "RunString", "fromhex", "base64"
- Seriöse Mods nutzen so gut wie nie mehrfach verschlüsselte Base64-Payloads in der Spiellogik. Treffer mit kryptischen Strings oder Web-Adressen sollten sofort entfernt werden.
Schritt 2: Netzwerk-Exfiltration mit TCPView entlarven
Prüfen Sie, ob ein Mod im Hintergrund sensible Zugangsdaten an externe Server sendet:
- Das Tool
TCPViewvon Microsoft Sysinternals starten. - Nach dem Prozess des Spiels filtern (z. B.
hl2.exe). - Das Spiel starten und einen lokalen Einzelspieler-Spielstand laden.
- Baut der Prozess während des Offline-Spiels ausgehende Verbindungen zu unbekannten IP-Adressen oder Discord-Webhooks auf, ist eine aktive Spionage-Routine am Werk.
- Den Spielprozess unverzüglich im Task-Manager beenden.
Schritt 3: Notfallprotokoll und Kontobereinigung
Wurde ein infizierter Mod geladen:
- Den Mod im Workshop deabonnieren und das zugehörige Verzeichnis unter
steamapps\workshop\content\[AppID]manuell löschen. - Alle aktiven Steam-Sitzungen sofort abmelden:
- Steam > Einstellungen > Sicherheit >
Alle anderen Geräte abmelden.
- Steam > Einstellungen > Sicherheit >
- Das Steam-Passwort von einem sauberen Gerät (z. B. Smartphone) aus ändern.
- Einen vollständigen Offline-Virenscan mit Windows Defender durchführen:
Start-MpWDOScan
- Die Steam-Web-API-Seite (
https://steamcommunity.com/dev/apikey) prüfen und jeden unautorisierten API-Schlüssel unverzüglich widerrufen.