窃密木马借"壁纸引擎"传播，Steam "再中招"
内容提要
火绒安全实验室发现《Wallpaper Engine:壁纸引擎》下载的壁纸打开后会导致Steam账号异常，因为该程序捆绑了盗号木马。火绒建议用户更新病毒库以提高防御能力，并选择正规可信的壁纸程序。木马会进行一系列操作，包括提升权限、持久化、强制重新登录等。木马会遍历Steam搜寻Token，并传输数据给C2服务器。
延伸解读
木马传播的隐蔽性
木马将恶意程序与正常壁纸程序捆绑，用户点击后仅看到壁纸界面，而盗号木马在后台运行。样本伪装为HTML后缀的exe文件，实为自解压压缩包，启动后执行恶意文件wehelpe.exe和正常壁纸程序rE.exe。这种伪装使用户难以察觉，增加了传播的隐蔽性。
盗号前的关键操作
木马在盗号前会进行一系列操作以确保成功：提升权限获取SE_DEBUG_NAME以跨进程读取Steam内存；设置注册表实现开机自启动；清空Steam的AutoLoginUser强制用户重新登录，刷新token时效。这些步骤为后续窃取token铺平道路。
Token窃取与数据外传
木马遍历Steam进程内存，搜索Token标签并提取完整字符串。Token以JWT格式存在，包含签发者、主题、过期时间等信息。木马将数据拼接后通过POST协议上传至C2服务器，即使C2已失效，其行为模式仍值得警惕。
防护建议与用户应对
火绒安全产品可拦截查杀该病毒，建议用户及时更新病毒库。下载壁纸时应选择正规可信的程序，并保持安全软件开启。对于来源不明的壁纸文件，尤其是伪装成HTML的可执行文件，应避免直接运行，以降低账号被盗风险。
Q&A
《Wallpaper Engine:壁纸引擎》是如何传播盗号木马的？
该程序捆绑了恶意的盗号木马，用户下载的壁纸打开后会导致Steam账号异常。
用户应该如何保护自己的Steam账号？
建议用户更新病毒库并选择正规可信的壁纸程序，以提高防御能力。
木马在感染后会进行哪些操作？
木马会进行权限提升、持久化、强制重新登录等操作，并遍历Steam搜寻Token。
如何识别伪装的恶意文件？
样本伪装为HTML后缀的exe文件，实际为自解压压缩包，用户需谨慎下载。
木马如何获取Steam Token？
木马会遍历Steam进程内存，搜寻Token并获取完整字符串。
木马传输数据的方式是什么？
木马会通过POST协议将数据传输到指定的C2服务器地址。
