攻击链路矩阵：假冒锦标赛钓鱼与官方 OAuth 授权对比
在《反恐精英 2》（CS2）玩家群体中，最隐蔽且泛滥的盗号套路是收到来自“好友”或陌生人的求助：“帮我们战队投票”、“我们队缺一人打 FACEIT 锦标赛，来当个替补”。该攻击链通过伪造浏览器弹窗窃取 Steam 会话并滥用 Web API 权限。
| 攻击阶段与载体 | 伪造钓鱼平台运作机制 | 官方正规平台正常行为 | 风险等级与危害后果 |
|---|---|---|---|
| 初始接触阶段 | 已被盗的好友账号群发 Steam 聊天或 Discord 私信 | 官方比赛邀请仅通过游戏内或已认证应用推送 | 严重：熟人社交工程学破防 |
| 落地页伪装 | 高仿 FACEIT / 5EPlay / ESL 页面与虚假对阵表 | 官方顶级域名与正规 EV SSL 数字证书 | 高：视觉像素级克隆 |
| Steam 登录弹窗 | 网页内嵌 HTML 元素模拟的虚假子窗口（BitB 攻击） | 浏览器原生独立弹窗，可拖出主窗口边界 | 极高：账号密码直接泄露 |
| 双重验证拦截 | 强行要求输入手机令牌验证码或扫描二维码 | 若浏览器已登录 Steam，原生 OpenID 绝不索要令牌 | 致命：会话凭据瞬间被劫持 |
| 后续提权潜伏 | 自动注册 Steam Web API Key 实施截和报价拦截 | 任何电竞平台均无需用户提供交易 API 权限 | 资产归零：饰品交易被静默掉包 |
识别“画中画”（Browser-in-the-Browser）视觉欺诈
黑客利用前端技术在网页内部绘制出一个看似具备完整地址栏与 SSL 小锁的“假 Chrome 窗口”：
- 窗口拖拽边界测试：
按住鼠标左键拖动弹出的 Steam 登录窗口，尝试将其拖出当前浏览器的可视边框。
- 若弹窗被限制在网页画面内部、无法跨出浏览器边框，说明这只是一个 HTML 假元素（BitB 钓鱼攻击）。
- 真正的系统级登录弹窗是一个独立子窗口，可以任意拖动到另一个显示器或桌面区域。
- 浏览器地址栏交互： 尝试在假弹窗的“地址栏”中进行双击选中、右键复制或输入新网址。若无法编辑或呈现图片特征，立即关闭标签页。
- 保持登录状态的“一键直连”特性： 如果你平时在浏览器中已登录过 Steam，正规第三方的 Steam OpenID 页面只会展示你的头像并出现绿色的 登录 (Sign In) 按钮，绝对不需要重复输入账号、密码或手机动态验证码。
紧急止血与会话吊销操作手册
一旦不幸在钓鱼网页输入了凭据或扫了码，黑客程序通常会在 3 秒内完成 API Key 注册。必须按以下顺序极限止血：
// 检查本地 hosts 文件是否被黑客木马植入重定向条目的 PowerShell 脚本
$HostsPath = "C:\Windows\System32\drivers\etc\hosts"
$SuspiciousEntries = Get-Content $HostsPath | Where-Object { $_ -match "steam" -or $_ -match "faceit" }
if ($SuspiciousEntries) {
Write-Warning "警告：在系统 hosts 文件中检测到可疑的游戏平台重定向条目！"
$SuspiciousEntries
} else {
Write-Host "系统 hosts 文件纯净，无未经授权的重定向。" -ForegroundColor Green
}
- 吊销恶意 Steam Web API Key：
在官方浏览器直接打开官方 API 管理页面：
若页面显示有已注册的域名（Domain Name）而你从未自行申请过开发者密钥，立即点击 撤销我的 Steam Web API 密钥 (Revoke My Steam Web API Key)。https://steamcommunity.com/dev/apikey - 取消对所有设备的授权： 打开 Steam 客户端 -> 设置 -> 安全 -> 点击 取消对所有设备的授权。此操作将瞬间作废黑客持有的全部会话 Cookie。
- 重置 Steam 账户密码： 修改密码会强制重签底层令牌并重置账户交易密钥。
- 生成全新交易 URL（Trade URL）： 进入 Steam 个人库存 -> 交易报价 -> 谁能向我发送交易报价？ -> 点击 创建新 URL，废除已被黑客截获的旧链接。