セキュリティ

Steamの「動く壁紙」にマルウェア。アカウントを乗っ取り連鎖感染

情報の灯台

2026年6月18日

Valve

デスクトップを彩る壁紙が、PCを丸ごと奪う入口になっていた。

Wallpaper EngineはSteamで同時接続が常時数万〜11万人に達する人気の壁紙アプリだ。そのワークショップに、マルウェアを仕込んだ壁紙パッケージが数十件アップロードされ、数万回ダウンロードされていたことがカスペルスキーの調査で明らかになった。感染したPCではSteamアカウントの認証情報が抜かれ、攻撃者がセッションを乗っ取る。そして被害者のアカウントから新たな悪意ある壁紙が投稿される。被害者が次の加害者にされる連鎖が、2025年末から半年以上続いていた。

壁紙が「実行ファイル」になる仕組み

Wallpaper Engineは、デスクトップに動画やインタラクティブなアニメーションを壁紙として設定できるアプリだ。Steamの非ゲームタイトルとしてはトップクラスの規模で、レビュー数は約97万件、推定インストール数は2000万〜5000万に達する。

対応する壁紙は4種類。動画、シーン（アプリ内エディタで作るインタラクティブ壁紙）、Webページ、そしてアプリケーション壁紙。問題はこの4つ目で、Windowsの実行可能プログラムをそのままデスクトップ背景として動かす機能だ。デスクトップ上でミニゲームを遊んだり、CPU使用率やGPU温度を表示するウィジェットを常駐させたりできる。

便利だが、裏を返せば任意のコードがユーザーのPC上で走る。Steamワークショップを通じて誰でも壁紙を公開できるため、攻撃者にとっては絶好の配布経路になる。

感染の手口と「連鎖」の構造

カスペルスキーのマキシム・スタロドゥボフ（Maxim Starodubov）氏とデニス・ブリレフ（Denis Brylev）氏が報告をまとめた。配布手口は大きく2パターンある。

壁紙パッケージの中に悪意あるEXE・DLL・スクリプトをそのまま同梱するパターンと、パスワード付きアーカイブにペイロードを隠すパターンだ。後者ではパスワードがアーカイブのファイル名やJSON設定ファイルに埋め込まれ、スクリプトが自動で展開する。どちらも壁紙を適用した瞬間にペイロードが走る。

2025年12月に見つかったサンプルが、攻撃の全体像をよく示している。壁紙を起動すると、見た目にはデスクトップ上でミニゲームが正常に動く。その裏で、DarkKometバックドア（Synaptics.exeとして配置）と改変されたシステムライブラリAggregatorHost.dllが落とされる。この改変DLLはPC上のSteamクライアントを探し出し、認証情報を収集してアクティブなセッションを奪う。窃取データはC2サーバーへ送られ、セッションを掌握した攻撃者は被害者のアカウントで新たな悪意ある壁紙をワークショップに投稿する。

厄介なのは、この連鎖構造だ。Steamが悪意ある壁紙を削除しても、すでに乗っ取られたアカウントから新しいものが上がってくる。投稿者は実在するユーザーのアカウントだから、ワークショップ上では「実績のあるユーザーが公開した壁紙」に見える。感染→乗っ取り→再配布のサイクルが、削除対応のたびに再生する。

すべての壁紙が危険なわけではない

Wallpaper Engineの壁紙が全部危ないわけではない。動画やシーン、Webページ形式の壁紙には、任意のWindowsプログラムを実行する仕組みがない。今回悪用されたのはアプリケーション壁紙に限られる。

ただ、ワークショップ上で壁紙がどの形式なのかは、一般ユーザーには分かりにくい。パッケージの詳細ページに壁紙タイプの表記はあるが、多くのユーザーはサムネイルの見た目だけで判断してダウンロードする。

被害の89%は中国。日本も無関係ではない

カスペルスキーの検知データによると、悪意あるダウンロードの89%が中国に集中していた。ロシアが5.5%、シンガポール1.4%、香港0.9%、ドイツ0.9%と続く。壁紙のタイトルやアートスタイルが中国向けに作られていたこと、そもそもWallpaper Engineのユーザー基盤が中国に大きく偏っていることが背景だ。

悪意あるダウンロードの地域別割合

国/地域	割合
中国	89.0%
ロシア	5.5%
シンガポール	1.4%
香港	0.9%
ドイツ	0.9%
ベトナム	0.9%
インド	0.5%
カナダ	0.5%

※ カスペルスキーのセキュリティ製品による検知データ

日本は上位の国リストに入っていない。だが、Wallpaper Engineの日本語対応は2017年から行われており、国内にもユーザーは少なくない。攻撃者がターゲットを切り替えれば、日本語タイトルで同じ手口が展開される可能性は十分ある。カスペルスキーも報告書の中で、この手法が他の地域に拡大する障壁はないとしている。

検出されたマルウェアは、DarkKometバックドア、Lumma/Vidarインフォスティーラー、RenEngineローダー、暗号通貨マイナー、ランサムウェアと多岐にわたる。研究者らは、この多様性から単一のグループではなく、複数の独立したグループが同じ手法に相乗りしていると分析している。

Steamのワークショップが繰り返し狙われる理由

Steamワークショップを介したマルウェア配布は今回が初めてではない。2023年のクリスマスにはSlay the Spireのmod経由でインフォスティーラーが配布され、2025年7月にはアーリーアクセスタイトルChemiaに3種のマルウェアが同梱されていた。同年9月にはBlockBlastersがプレイヤーから約15万ドルを窃取し、2026年3月にはFBIが2024年以降のSteamマルウェア感染の被害者を募る公開捜査に乗り出している。

Steamを介したマルウェア配布の主な事例

2023年12月

Slay the Spireのmod汚染

Steamワークショップ経由でインフォスティーラーが配布された

2025年7月

Chemiaに3種のマルウェア

アーリーアクセスタイトルにHijackLoader等が同梱されていた

2025年9月

BlockBlastersで約15万ドル窃取

暗号通貨ドレイナーが仕込まれ、配信者を含む多数が被害を受けた

2026年3月

FBIが公開捜査を開始

2024年以降のSteamマルウェア感染について被害者情報を募集

2025年末〜

Wallpaper Engine壁紙汚染

アカウント乗っ取りと再配布の連鎖が半年以上継続。2026年6月に報告

ワークショップのコンテンツは、ゲーム本体と違ってValveの事前審査を経ない。ユーザーが自由にアップロードし、他のユーザーが自由にダウンロードする。この開放性がSteamコミュニティの強みであると同時に、攻撃者にとっては参入障壁がほぼゼロの配布チャネルになっている。

カスペルスキーが報告した悪意ある壁紙は、記事公開時点ですでにSteamから削除されている。だが報告書が指摘する通り、新たな感染壁紙は継続的にアップロードされており、プラットフォーム側の対応だけに頼るのは危うい。

自衛策

Wallpaper Engineを使っているなら、まず確認すべきは自分がアプリケーション壁紙を使っているかどうかだ。動画やシーン形式の壁紙であれば、今回の攻撃経路には該当しない。

アプリケーション壁紙をダウンロードした心当たりがある場合は、Steamのワークショップで当該アイテムのサブスクライブを解除し、ローカルのワークショップフォルダ（通常はC:\Program Files (x86)\Steam\steamapps\workshop\content\431960\）から不審なファイルを確認する。身に覚えのないEXEやDLL、パスワード付きアーカイブがあれば、ウイルス対策ソフトでフルスキャンを実行し、Steamのパスワード変更とSteamガードの有効化（まだの場合）、APIキーの確認を行う。

何より、ワークショップから何かをダウンロードするときは、投稿者のプロフィールとコメント欄を確認する習慣をつけることだ。新規アカウントや、過去の投稿実績がないアカウントからのアプリケーション壁紙には特に注意が要る。

参照元：Kaspersky Securelist - Dozens of malicious wallpapers found on Steam Workshop