Lawrence Abrams veröffentlichte am 30. September 2016 eine Untersuchung über Schadsoftware aus Steam-Chats bei BleepingComputer. Ausgangspunkt war ein Hinweis auf kompromittierte Konten, die Links zu einer angeblichen Videoseite verschickten. Dort sollte zum Abspielen ein vermeintliches Flash-Update installiert werden.
Nach Ausführung des Installers startete nach Abrams’ Analyse ein PowerShell-Skript namens zaga.ps1. Es lud ein Archiv, einen Entpacker und ein weiteres Skript nach. Anschließend wurde mcrtvclient.exe für den automatischen Start bei der Windows-Anmeldung eingerichtet.
Nachgeladenes Fernwartungsprogramm
Bei mcrtvclient.exe handelte es sich laut der Untersuchung um eine umbenannte Kopie von NetSupport Manager. Sie verband sich mit einem externen Gateway und wartete auf Befehle. Der Analyst beschreibt damit den missbräuchlichen Einsatz eines Fernwartungsprogramms, nicht eine Schwachstelle in der Steam-Grafik- oder Spielefunktion.
Die Untersuchung nennt keine Infektionszahl und klärt nicht, wie die ursprünglichen Konten übernommen wurden. Aus dem nachvollzogenen Installationsablauf lässt sich deshalb keine Größenordnung der Kampagne ableiten.
Kontoübernahme und Rechnerzugriff sind verschiedene Schritte
Valve hatte 2015 bereits eine andere Lücke in der Steam-Passwortwiederherstellung geschlossen. Für einen Zusammenhang mit dieser Verbreitung liefert Abrams’ Analyse keinen Beleg. Aus einer früheren Kontoschwachstelle darf deshalb nicht auf den Zugangsweg dieser Kampagne geschlossen werden.
Für Spiele- und Entwicklungsteams ist die Trennung von Kontenschutz und Softwareinstallation wichtig. Eine Prüfung des Absenders ersetzt keine Prüfung der heruntergeladenen Datei. Diese Schlussfolgerung ist kein eigener Virentest und keine Behauptung, dass die Redaktion den beschriebenen Installer ausgeführt habe.
Archivhinweis: Der Beitrag dokumentiert die Untersuchung vom September 2016, keine neu entdeckte Kampagne. Das offizielle Steam-Logo dient als Symbolbild. Schadsoftware, Steuerungsserver und Downloads der Täter werden nicht verlinkt.