Steam nel mirino degli hacker: un gioco ad accesso anticipato diffonde un malware tra gli utenti

EncryptHub, un attore malevolo già noto nel panorama del cybercrimine e identificato anche come Larva-208, ha compromesso il gioco Chemia, titolo in accesso anticipato su Steam sviluppato da Aether Forge Studios. L'attacco, confermato dagli analisti di Prodaft, ha visto l’iniezione nel gioco di due differenti malware info-stealer, sorprendendo gli utenti che scaricavano quello che sembrava un innocuo titolo survival/crafting.

Secondo quanto riferito, il 22 luglio EncryptHub ha aggiunto ai file di Chemia il malware HijackLoader (CVKRUTNP.exe), un loader che si assicura la persistenza sul dispositivo compromesso e provvede al download automatico del Vidar infostealer (v9d9d.exe), noto per la sua capacità di trafugare credenziali e altre informazioni sensibili. I ricercatori hanno scoperto che per la comunicazione con i server di comando e controllo (C2) veniva utilizzato un canale Telegram.

A tre ore dal primo attacco, un secondo componente dannoso è stato aggiunto tramite la DLL cclib.dll: si tratta di Fickle Stealer, malware in grado di raccogliere dati da browser web, come account, credenziali di accesso, cookie e dettagli di wallet di criptovalute. Fickle Stealer viene richiamato da uno script PowerShell (worker.ps1) che scarica il payload principale dal sito soft-gets[.]com, dimostrando un’architettura modulare e altamente adattabile della campagna malevola.

Il punto di accesso privilegiato offerto da una piattaforma nota, consolidata e ritenuta affidabile come Steam, unito all’apparente legittimità del file eseguibile compromesso, ha creato le condizioni ideali per una campagna di social engineering efficace, che sfrutta la fiducia degli utenti nella piattaforma stessa invece di cercare di manipolarla tramite le normali tecniche di phishing. Per i giocatori, il malware resterà invisibile poiché gira in background senza influire sulle prestazioni del titolo e senza segnali evidenti di infezione. Coloro che hanno semplicemente attivato la funzionalità di “Playtest” gratuita si sono così inconsapevolmente esposti a software pericolosi, potenzialmente in grado di compromettere la sicurezza dei loro dispositivi e dati personali.

La singolare figura di EncryptHub è nota per un atteggiamento ambiguo: il gruppo, infatti, è stato associato sia allo sfruttamento attivo di vulnerabilità zero-day su Windows, sia alla segnalazione responsabile alla stessa Microsoft di gravi falle di sicurezza, alternando quindi attività criminali e collaborazioni con bug bounty program.

Non è ancora chiaro come EncryptHub abbia avuto la possibilità di inserire i file malevoli nei progetti di Chemia: una delle ipotesi avanzate dagli esperti è la presenza di un complice interno al team di sviluppo; al momento Aether Forge Studios non ha rilasciato alcuna dichiarazione pubblica sui propri canali ufficiali.

Quello di Chemia rappresenta il terzo caso solo nel 2025 di diffusione di malware tramite giochi su Steam. Episodi analoghi avevano già interessato “Sniper: Phantom’s Resolution” a marzo e “PirateFi” a febbraio, sempre titoli in accesso anticipato e dunque soggetti a procedure di revisione meno stringenti dalla piattaforma: trattandosi di opere "work in progress", si raccomanda agli utenti massima prudenza nell’installazione di giochi non ancora rilasciati in versione stabile.

Prodaft ha condiviso gli indicatori di compromissione per consentire alle potenziali vittime (cioè a chi ha scaricato Chemia) di effettuare verifiche di sicurezza sui propri sistemi.