Matrice des vecteurs d'attaque et compromissions sur le Steam Workshop
Le Steam Workshop héberge des millions de créations communautaires pour des jeux bac à sable comme Garry's Mod, Teardown ou Project Zomboid. Les cybercriminels exploitent la chaîne d'approvisionnement en rachetant des mods populaires à l'abandon ou en piratant les comptes de développeurs reconnus pour diffuser des mises à jour corrompues. Ces scripts malveillants téléchargés en arrière-plan dérobent les jetons Discord, les cookies de navigation et les identifiants de session Steam.
| Vecteur d'attaque | Mécanisme sous-jacent | Cibles privilégiées | Symptômes d'alerte |
|---|---|---|---|
| Scripts Lua obfusqués | Chaînes Base64/XOR exécutées via RunString | Jetons Discord, mots de passe de navigateurs | Alerte antivirus dans le répertoire des addons |
| Exfiltration discrète en HTTP | Requêtes http.Fetch ou http.Post vers des C2 | Cookies de session Steam, adresse IP, identifiant matériel | Trafic réseau sortant suspect en session solo hors ligne |
| Dropper de binaires (.dll/.exe) | Scripts appelant des bibliothèques dynamiques externes | Prise de contrôle totale du système, mineurs | Blocage par Windows Defender sur des DLL nouvellement créées |
| Mise à jour automatique silencieuse | Déploiement sans confirmation via le compte piraté | Exécution furtive sans alerte préalable | Crashs inexpliqués ou pop-ups intrusives au lancement |
Étape 1 : Audit des fichiers en cache du Workshop
Les mods auxquels vous êtes abonnés sont stockés dans des répertoires numérotés au sein de votre bibliothèque Steam :
- Accédez au répertoire de stockage du Workshop :
[SteamLibrary]\\steamapps\\workshop\\content\\[AppID]\\
(Par exemple, l'AppID de Garry's Mod est 4000).
2. Utilisez PowerShell pour scanner l'ensemble des fichiers Lua à la recherche de fonctions dynamiques suspectes :
Get-ChildItem -Path "[SteamLibrary]\\steamapps\\workshop\\content\\4000" -Recurse -Filter "*.lua" | Select-String -Pattern "compilestring", "RunString", "fromhex", "base64"
- Un mod légitime n'utilise pratiquement jamais de chaînes chiffrées en Base64 imbriquées au sein de son code. Toute occurrence pointant vers des adresses web externes ou contenant du code illisible doit être supprimée sans délai.
Étape 2 : Détection des communications malveillantes avec TCPView
Pour savoir si un mod transmet vos identifiants à un serveur distant pendant que vous jouez :
- Lancez l'utilitaire officiel
TCPViewde Microsoft Sysinternals. - Filtrez l'affichage sur le processus du jeu (ex.
hl2.exeouProjectZomboid64.exe). - Lancez le jeu et chargez une partie en solo (mode hors ligne).
- Si le processus établit des connexions HTTP/HTTPS sortantes vers des adresses IP inconnues ou des webhooks Discord alors que vous jouez seul, un script malveillant est en cours d'exécution.
- Forcez immédiatement l'arrêt du jeu depuis le Gestionnaire des tâches.
Étape 3 : Protocole d'urgence et assainissement du compte
Si vous avez exécuté un mod corrompu :
- Désabonnez-vous du mod sur le Steam Workshop et supprimez définitivement son dossier dans
steamapps\\workshop\\content\\[AppID]. - Déconnectez toutes les sessions actives :
- Steam > Paramètres > Sécurité >
Désautoriser tous les autres appareils.
- Steam > Paramètres > Sécurité >
- Modifiez immédiatement le mot de passe de votre compte Steam depuis un appareil sain (comme votre smartphone).
- Lancez une analyse complète hors ligne avec Windows Defender :
Start-MpWDOScan
- Rendez-vous sur la page de gestion des clés API Steam (
https://steamcommunity.com/dev/apikey) et révoquez immédiatement toute clé enregistrée à votre insu.