스팀 배경화면에 악성코드 숨겼다, 심각하면 계정 탈취까지..

스팀 워크샵을 통해 배포되는 일부 배경화면 파일에 악성코드가 숨겨진 사례가 확인됐다.

카스퍼스키에 따르면 공격자는 스팀의 인기 배경화면 앱 '월페이퍼 엔진(Wallpaper Engine)'을 악용했다. 월페이퍼 엔진은 스팀 워크샵을 통해 사용자가 만든 배경화면을 공유할 수 있는데 이 중 실행 파일을 포함할 수 있는 ‘애플리케이션 배경화면’ 기능이 악용됐다.

문제의 배경화면은 겉으로는 정상적인 애니메이션 또는 게임형 배경화면처럼 보였다. 사용자가 이를 내려받아 적용하면 배경화면은 정상 실행되는 것처럼 보이지만 뒤에서는 악성 EXE나 DLL, 스크립트 파일이 함께 실행됐다. 일부는 암호가 걸린 압축 파일 안에 악성코드를 숨긴 뒤 설정 파일에 포함된 암호로 자동 해제되는 방식도 사용했다.

피해 사례의 핵심은 스팀 계정 탈취다. 카스퍼스키가 분석한 샘플 중 하나는 정상적인 배경화면처럼 동작하면서 동시에 백도어를 설치하고 스팀 앱을 찾아 계정 관련 정보를 수집했다. 공격자는 탈취한 세션을 이용해 피해자 계정으로 다시 악성 배경화면을 업로드할 수 있었고 이 때문에 감염된 계정이 또 다른 유포 경로로 이용됐다.

카스퍼스키는 이번 캠페인이 2025년 말부터 이어졌으며 악성 다운로드 시도 대부분이 중국 지역에서 확인됐다고 밝혔다. 일부 악성 배경화면은 삭제되기 전 수천 회에서 수만 회까지 다운로드된 것으로 알려졌다.

이번 사례는 스팀 워크샵처럼 신뢰도가 높은 플랫폼이라도 실행 파일을 포함한 사용자 제작 콘텐츠는 악성코드 유포 통로가 될 수 있음을 보여준다. 월페이퍼 엔진 사용자는 출처가 불분명한 배경화면 설치를 피하고 실행 파일이나 스크립트를 포함한 워크샵 콘텐츠는 적용 전 보안 검사를 진행하는 것이 바람직하다.