Matriz de ataques de cadeia de suprimentos e scripts nocivos no Steam Workshop
O Steam Workshop distribui modificações para jogos sandbox como Garry's Mod, Project Zomboid e Teardown. Invasores utilizam ataques de cadeia de suprimentos comprando mods antigos com muitos inscritos ou invadindo perfis de criadores de conteúdo para lançar atualizações maliciosas. Os clientes dos jogadores recebem as alterações automaticamente em segundo plano, executando scripts em Lua desenvolvidos para roubar tokens do Discord, cookies e sessões da Steam.
| Vetor de Ataque | Mecanismo de Ação | Dados Alvo | Sintoma Típico de Alerta |
|---|---|---|---|
| Script Lua Ofuscado | Execução de Base64/XOR via comando RunString | Tokens do Discord, senhas do navegador | Antivírus acusa arquivos na pasta de addons |
| Exfiltração via HTTP | Uso de http.Fetch ou http.Post para servidores C2 | Cookies de sessão da Steam, IP, HWID | Conexões de rede ativas em modo offline |
| Instalador Binário | Scripts Lua que criam ou chamam DLLs externas | Acesso administrativo, mineradores | Alerta do Windows Defender sobre bibliotecas novas |
| Atualização Forçada | Publicação silenciosa feita por conta sequestrada | Execução sem necessidade de confirmação | Falhas no jogo ou mensagens estranhas na tela |
Passo 1: Varredura de scripts ofuscados na pasta do Workshop
Os itens baixados ficam guardados em pastas numéricas na biblioteca Steam:
- Acesse o diretório de dados do Workshop:
[SteamLibrary]\steamapps\workshop\content\[AppID]\
(Exemplo: o AppID de Garry's Mod é 4000).
2. Utilize o PowerShell para buscar instruções arriscadas nos arquivos Lua:
Get-ChildItem -Path "[SteamLibrary]\steamapps\workshop\content\4000" -Recurse -Filter "*.lua" | Select-String -Pattern "compilestring", "RunString", "fromhex", "base64"
- Mods legítimos quase nunca utilizam código ofuscado em Base64. A presença de cadeias codificadas ou endereços web externos exige remoção imediata.
Passo 2: Monitoramento de conexões com TCPView
Para flagrar se um mod está vazando informações confidenciais para fora da sua máquina:
- Abra a ferramenta oficial
TCPViewda Microsoft Sysinternals. - Localize o processo do jogo aberto (ex:
hl2.exe). - Carregue um mapa no modo de um jogador (offline).
- Se o jogo abrir conexões HTTP/HTTPS para servidores desconhecidos ou webhooks de Discord enquanto você joga sozinho, há um código malicioso em execução.
- Finalize o processo do jogo na mesma hora pelo Gerenciador de Tarefas.
Passo 3: Medidas de emergência e proteção da conta
Caso tenha entrado em contato com um mod comprometido:
- Cancele a inscrição do mod na oficina da Steam e apague a pasta física do item em
steamapps\workshop\content\[AppID]. - Encerre todas as conexões da sua conta:
- Steam > Configurações > Segurança >
Desautorizar todos os outros dispositivos.
- Steam > Configurações > Segurança >
- Mude a senha da Steam imediatamente usando um celular seguro.
- Execute uma verificação completa com o Windows Defender Offline:
Start-MpWDOScan
- Verifique a página de API Key da Steam (
https://steamcommunity.com/dev/apikey) e revogue qualquer chave cadastrada para cortar o acesso de interceptadores.