Landfallは『Content Warning』のSteamワークショップを一時停止し、問題への対処が終わるまで全Modを削除するようプレイヤーに推奨しました。マルウェアを含む可能性のある非公式Modが一部で見つかったためです。
Landfallがワークショップを一時停止
『Content Warning』は、2〜4人で地下遺跡に入り、怪物を撮影するオンライン協力型のサバイバルホラーゲームです。撮影した動画をゲーム内の「SpöökTube」に投稿し、再生数に応じた広告収入をアップグレードやアイテムの購入に使います。
今回停止されたのは、ユーザーが作成したModを配布・導入できるSteamワークショップ機能です。Landfallは、安全に利用できる状態になるまで機能を停止すると判断しました。
Modを使ってプレイしていた場合、Landfallはすべて削除するよう勧めています。問題のModが特定されていないため、個別ではなく全Modの削除を推奨しています。
マルウェアの挙動はユーザー報告段階
マルウェアの具体的な挙動は明らかになっていません。DiscordやRedditでは、PC内の情報を盗む、認証情報を使ってDiscordにログインし、フレンドへ不審なサイトのリンクを送る、といった挙動が報告されています。
同じ報告の中には、Steamの認証情報を盗んで悪意あるModを新たに投稿し、拡散させる「自己増殖」の仕組みがあるという内容もあります。これらのユーザー報告は、『Content Warning』のModで確認された具体的な攻撃手順を示すものではありません。
Modを削除しても被害への対処が完了するとは限りません。問題のModが再投稿される可能性を懸念して全Modの削除を推奨したと、AUTOMATONは推測しています。
別のゲームではマップ読み込み時に処理
別のゲーム『めっちゃカメレオン』では、悪質なSteamワークショップ製マップを読み込んだ際、マップ内のBlueprintというビジュアルスクリプトに埋め込まれた処理が動く事例が報告されました。その処理はドキュメントフォルダにバッチファイルを書き出し、非表示で起動したPowerShellから外部サーバーへ接続する仕組みでした。
同事例では、マップをサブスクライブした時点ではなく、試合で実際に読み込んだ時に処理が実行される構成だったとされています。解析者は、外部から取得されるファイルが感染したPCを遠隔操作するRATだったと報告しました。
これは『めっちゃカメレオン』の事例で、『Content Warning』で同じ手口が使われたと確認されたものではありません。
Steamワークショップの仕組みと問題事例
Steamワークショップでは、サブスクライブ操作でModを導入でき、更新も自動で反映されます。最近は複数のゲームでマルウェア入りModが問題になっています。
『People Playground』でも9月にマルウェア混入の疑いが報告され、ワークショップ機能が一時停止されました。同作では2月にも同様の問題が発覚しています。
