Steam als Infektionsweg: Malware in Fake-Games trifft 8.000 PCs

Steam ist die weltweit größte PC-Gaming-Plattform – genau dieses Vertrauen haben Cyberkriminelle ausgenutzt. Nach bisherigen Erkenntnissen wurden über gefälschte Spiele auf Steam mindestens 8.000 Rechner mit Malware infiziert. Die Methode ist nicht neu, die Reichweite aber bemerkenswert: Fake-Spiele wurden gezielt beworben, Nutzer haben sie installiert – und damit der Schadsoftware Tür und Tor geöffnet.

Was hier passiert ist, lässt sich in einem Satz beschreiben: Eine vertrauenswürdige Plattform wurde als Verteilungsweg missbraucht. Das ist das eigentliche Problem.

Dabei gilt: Nach bisherigem Kenntnisstand wurde nicht Steam selbst kompromittiert. Vielmehr gelang es den Angreifern, manipulierte Spiele über die Plattform zu verbreiten.

Warum Steam? Weil es funktioniert.

Viele Nutzer betrachten Downloads über Steam als grundsätzlich vertrauenswürdig. Man kennt die Plattform, man hat dort vielleicht schon hunderte Stunden verbracht – und genau dieses Vertrauen ist der Angriffsvektor. Sicherheitsbewusstsein, das bei E-Mail-Anhängen von Unbekannten sofort anspringt, schaltet sich bei bekannten Plattformen oft ab.

Cyberkriminelle wissen das. Und sie nutzen es systematisch. Ähnliche Muster kennen wir von Malware-Kampagnen über GitHub-Repositories, kompromittierte npm-Pakete oder gefälschte Browser-Extensions im Chrome Web Store. Die Plattform selbst ist dabei nicht das Problem – das Problem ist das blinde Vertrauen in alles, was über sie kommt.

In diesem Fall wurden die Fake-Spiele aktiv beworben. Das bedeutet: Die Angreifer haben nicht nur eine Hintertür in ein real existierendes Spiel eingebaut, sondern extra Aufwand betrieben, um Nutzer auf ihre manipulierten Titel zu locken. Das ist kein opportunistischer Angriff, sondern eine geplante Kampagne.

Was das für Unternehmen bedeutet

In vielen Unternehmen sind Privatrechner oder persönliche Laptops der Mitarbeiter längst Teil der IT-Infrastruktur – entweder offiziell per BYOD-Richtlinie oder stillschweigend toleriert. Steam läuft dort, Spiele werden installiert. Und wenn ein kompromittiertes Privatgerät Zugriff auf Unternehmensressourcen erhält – etwa über VPN, Remote-Zugänge oder gemeinsam genutzte Netzwerke – kann sich das Risiko auf die Unternehmensumgebung ausweiten.

Aber auch auf Firmenrechnern gilt: Welche nicht geschäftlich benötigte Software ist auf Unternehmensgeräten installiert? Und vor allem: Wer prüft das?

Software-Whitelisting, Endpoint-Detection-Lösungen und klare Richtlinien zur erlaubten Software sind keine Paranoia – sie sind die Antwort auf genau solche Angriffsvektoren. Ein Endpoint, auf dem nur bekannte, freigegebene Software läuft, ist deutlich schwerer zu kompromittieren als einer, auf dem jeder Nutzer installieren darf, was er möchte.

Die eigentliche Schwachstelle ist das Vertrauen

Das Muster, das dieser Angriff zeigt, ist bereits bei verschiedenen Angriffskampagnen zu beobachten und dürfte weiter an Bedeutung gewinnen: Vertrauenswürdige Plattformen als Verteilungsweg. Ob App Stores, Paketmanager oder bekannte Software-Portale – dort, wo Nutzer nicht zweimal nachdenken, setzen Angreifer an.

Das bedeutet nicht, dass man Steam oder ähnliche Plattformen grundsätzlich meiden sollte. Es bedeutet, dass ein Sicherheitsmodell, das allein auf Plattformvertrauen basiert, nicht ausreicht. Ergänzt werden muss es durch technische Kontrollen: Was darf auf dem Endgerät laufen? Was nicht? Wer bekommt es mit, wenn etwas Unbekanntes ausgeführt wird?

Gerade im Unternehmenskontext werden diese Fragen in der Praxis nicht konsequent umgesetzt.

Was Sie jetzt prüfen sollten

• Software-Inventar: Läuft auf Firmenrechnern oder BYOD-Geräten mit Zugriff auf Unternehmensressourcen Software, die dort nichts zu suchen hat? Gaming-Plattformen, Launcher, Drittanbieter-Installer – prüfen Sie das systematisch.
• Installationsrechte: Können Nutzer auf ihren Firmengeräten eigenständig Software installieren? Falls ja: Warum? Falls nötig: einschränken.
• Endpoint-Detection: Gibt es auf Ihren Endgeräten eine Lösung, die unbekannte Prozesse erkennt und meldet – oder läuft alles durch, solange der Nutzer es startet?
• Netzwerksegmentierung: Sind Homeoffice-Rechner, die auch privat genutzt werden, vom Unternehmensnetz getrennt? Ein kompromittiertes Privatgerät sollte keinen direkten Weg zu Ihrem File-Server haben.

Keine dieser Maßnahmen ist neu. Keine ist aufwendig in der Konzeption. Aber in der Praxis werden sie in vielen Unternehmen nicht konsequent umgesetzt – bis ein Fall wie dieser im eigenen Netzwerk landet.

Quellen: heise Security – „8.000 PCs über Steam infiziert: Cyberkriminelle verteilen Malware via Fake-Games“ (https://www.heise.de/news/8-000-PCs-ueber-Steam-infiziert-Cyberkriminelle-verteilen-Malware-via-Fake-Games-11376061.html)