Steam 游戏暗藏 “补丁木马”：癌症主播 3.2 万美元救命钱被窃，黑客攻击细节曝光

一款看似普通的 2D 像素风射击游戏，竟成黑客窃取钱财的 “致命陷阱”。近日，V 社紧急下架了 Steam 平台上的游戏《Block Blasters》，该游戏被揭露为黑客团伙精心设计的恶意软件载体，通过 “合规上架、补丁投毒” 的隐蔽手段，窃取了包括拉脱维亚癌症主播 “拉沃” 在内的多名用户敏感信息与财产，其中拉沃用于癌症治疗的 3.2 万美元(约合人民币 22.8 万元)Twitch 激励金被悉数转走，引发全球游戏社区震动。

一、伪装与潜伏：黑客的 “五步设局” 陷阱

这场针对 Steam 玩家的攻击，展现了黑客团伙极强的耐心与策划能力，从上架到得手历经两个月精密布局：

伪装合规产品上架：黑客以 “Genesis Interactive” 为名义，于 7 月 30 日将《Block Blasters》推向 Steam 平台。为通过 V 社的初始审核，首发版本未包含任何恶意代码，完全以 “2D 像素风平台跳跃射击游戏” 的正常身份出现。

刷分造势引关注：为降低玩家警惕，黑客通过刷好评等方式营造 “口碑不错” 的假象，让游戏看起来符合独立游戏的正常生态，为后续钓鱼铺垫。

补丁更新暗投木马：在游戏上架一个月后，黑客通过 Steam 的补丁更新机制，于 8 月 30 日推送的 Build 19799326 版本中，悄然植入了恶意代码 —— 这一 “先合规上架、后更新投毒” 的手段，成功绕过了平台的初始安全筛查。

精准钓鱼锁定目标：拉脱维亚癌症主播拉沃在直播时，黑客通过留言板 “好心推荐” 这款游戏，利用主播对粉丝互动的信任，诱导其下载安装。

窃取信息实施盗窃：在拉沃启动游戏后，隐藏的木马立即触发，窃取其浏览器 Cookie、账号凭证等数据，最终成功盗走其 Twitch 平台的创作者激励金。

据腾讯网报道，此次攻击并非个例，《Block Blasters》在 Steam 平台存在的一个多月里，已导致部分用户累计损失逾 15 万美元，受害者规模或达数百人。

二、技术解密：三阶段入侵，精准规避杀毒软件

安全公司 G DATA 通过深度分析，还原了该木马 “步步为营” 的三阶段攻击机制，其技术设计针对性极强，专门规避主流安全防护体系：

第一阶段：环境侦察，评估攻击可行性

游戏启动后，首先执行名为game2.bat的恶意批处理文件，完成两项关键侦察：

收集基础信息：通过调用ipinfo.io等合法服务，获取受害者的 IP 地址、地理位置，并窃取 Steam 账号的 ID、用户名、昵称等核心信息;

检测防护强度：重点排查受害者设备安装的杀毒软件，仅当确认设备 “仅使用 Windows Defender、未安装其他第三方安全软件” 时，才会启动后续攻击 —— 这一设计大幅降低了被检测拦截的概率。完成侦察后，这些数据会被立即上传至黑客位于203.188.171.156:30815的指挥控制服务器(C2)。

第二阶段：负载释放，突破系统防线

确认环境 “安全” 后，木马通过launch1.vbs和test.vbs两个 VBS 脚本，释放加密的核心恶意负载：

黑客将恶意文件压缩为密码保护的 ZIP 包(密码为 “121”)，以此绕过静态扫描检测;

执行的test.bat文件专门瞄准高价值数据，重点扫描浏览器扩展程序与加密货币钱包信息，暴露了黑客对金融财产的明确目标。

第三阶段：持久控制，窃取核心数据

最终，木马部署两大关键组件实现 “长期窃密”：

后门程序（Client-built2.exe）：该程序由 Python 编译而成，能与黑客的次级 C2 服务器(45.83.28.99)建立持久连接，让黑客随时掌控受害者设备;

信息窃取器（StealC）：专门针对谷歌 Chrome、Brave、微软 Edge 等主流浏览器，通过解析浏览器的Local State文件，提取存储的账号密码、支付凭证等敏感数据。更隐蔽的是，木马还会将自身执行目录添加至 Windows Defender 的 “排除列表”，确保后续运行时不会触发安全警报，实现 “潜伏不死” 的持久控制。

三、事件进展：款项筹回但黑客在逃，Steam 安全漏洞引质疑

目前，事件已取得部分进展，但核心问题仍未解决：

受害者得到援助：得知拉沃的遭遇后，全球游戏玩家与网友自发发起筹款，已帮其重新筹齐癌症治疗费用，暂时缓解了其经济危机;

平台与服务器处置：在舆论压力与安全公司通报后，V 社已下架《Block Blasters》游戏，安全团队也成功关停了黑客用于数据传输的 C2 基础设施;

核心嫌犯仍在逃：尽管攻击链路已被切断，但策划此次攻击的黑客团伙尚未被抓获，其是否会通过其他游戏卷土重来，仍是未知风险。

此次事件再次凸显了 Steam 平台的安全短板。事实上，类似 “借补丁传播恶意软件” 的攻击并非首次，此前的 PirateFi、Chemia 等案例均采用类似模式，暴露了平台对 “后续更新内容” 的安全审核存在明显漏洞 —— 初始审核严格，但对高频次的补丁更新缺乏有效监测，给了黑客可乘之机。

四、安全警示：玩家如何防范 “游戏类木马”?

针对此类新型攻击，安全专家为 Steam 玩家提出三点核心建议：

谨慎对待 “小众新游” 与 “陌生人推荐”：避免下载好评异常集中、开发者信息模糊的独立游戏，尤其警惕直播、论坛中 “突然出现” 的陌生推荐链接;

强化设备安全防护：除 Windows Defender 外，建议安装正规第三方杀毒软件，并开启实时防护功能;同时避免将支付账号、加密货币钱包等信息长期存储在浏览器中;

监控游戏更新行为：对已安装游戏的补丁更新保持警惕，若更新后出现 “进程异常占用资源”“频繁联网” 等情况，可通过 Steam 验证文件完整性，或直接卸载并向平台举报。

“黑客正越来越多地利用玩家对游戏平台的信任，将合法软件变为攻击载体。”G DATA 分析师指出，此次事件不仅是一起盗窃案件，更是对全球游戏生态安全的警示 —— 平台需升级 “全生命周期安全审核”，而玩家也需摒弃 “平台上架即安全” 的固有认知，才能有效规避此类风险。