Matriz de compromiso y ataques de cadena de suministro en Steam Workshop
Steam Workshop alberga millones de contenidos para juegos como Garry's Mod, Teardown o Project Zomboid. Los ciberdelincuentes despliegan ataques de cadena de suministro adquiriendo mods populares abandonados o comprometiendo cuentas de desarrolladores para distribuir actualizaciones maliciosas. Los clientes de los jugadores descargan silenciosamente estas versiones, ejecutando scripts en Lua que roban tokens de Discord, cookies del navegador y credenciales de Steam.
| Vector de ataque | Mecanismo de ejecución | Activos objetivo | Síntoma de alerta |
|---|---|---|---|
| Scripts Lua ofuscados | Cadenas en Base64/XOR ejecutadas con RunString | Tokens de Discord, contraseñas web | El antivirus marca archivos en la carpeta del juego |
| Exfiltración HTTP | Llamadas con http.Fetch o http.Post a servidores C2 | Cookies de Steam, dirección IP, UUID | Conexiones de red salientes durante partidas offline |
| Descarga de binarios | Scripts que liberan librerías .dll o ejecutables | Control total del sistema, mineros | Alertas de Windows Defender sobre DLLs añadidas |
| Actualización automática | Despliegue silencioso tras secuestro de cuentas | Ejecución automática sin aviso previo | Cierres del juego o avisos emergentes al conectar |
Paso 1: Auditoría de archivos descargados de Workshop
Los archivos suscritos se almacenan en carpetas numéricas en su biblioteca de Steam:
- Navegue al directorio de almacenamiento de Workshop:
[SteamLibrary]\steamapps\workshop\content\[AppID]\
(Por ejemplo, el AppID de Garry's Mod es 4000).
2. Utilice PowerShell para rastrear funciones sospechosas de ejecución dinámica:
Get-ChildItem -Path "[SteamLibrary]\steamapps\workshop\content\4000" -Recurse -Filter "*.lua" | Select-String -Pattern "compilestring", "RunString", "fromhex", "base64"
- Un mod legítimo rara vez ofusca su lógica de juego en cadenas cifradas en Base64. Cualquier coincidencia vinculada a URLs externas debe considerarse hostil.
Paso 2: Interceptación de tráfico malicioso con TCPView
Compruebe si algún mod envía información de su sesión a servidores remotos:
- Ejecute la herramienta oficial
TCPViewde Sysinternals. - Filtre por el proceso del juego (ej.
hl2.exeoProjectZomboid64.exe). - Inicie el juego y cargue una partida local sin conexión.
- Si el proceso inicia conexiones salientes HTTP hacia IPs desconocidas o webhooks de Discord en modo de un jugador, hay un payload activo operando.
- Fuerce el cierre del juego desde el Administrador de tareas.
Paso 3: Protocolo de emergencia y desinfección de cuenta
Si ha ejecutado un mod infectado:
- Anule la suscripción del mod en Steam Workshop y elimine manualmente la carpeta correspondiente en
steamapps\workshop\content\[AppID]. - Revoque todas las sesiones activas:
- Steam > Ajustes > Seguridad >
Desautorizar todos los dispositivos.
- Steam > Ajustes > Seguridad >
- Modifique la contraseña de Steam desde un equipo seguro o su teléfono móvil.
- Ejecute un escaneo sin conexión con Windows Defender:
Start-MpWDOScan
- Acceda a la gestión de clave API de Steam (
https://steamcommunity.com/dev/apikey) y revoque cualquier clave que aparezca registrada sin su consentimiento.