En la época estival, que hay más tiempo libre, muchos usuarios dedican más tiempo a los videojuegos y descargan nuevos contenidos para personalizar su experiencia de juego. En este contexto, Kaspersky ha descubierto una campaña activa de distribución de malware que utiliza Steam Workshop y Wallpaper Engine, una popular plataforma de Steam para crear y compartir fondos de pantalla animados. Los analistas han identificado varios paquetes de fondos de pantalla infectados que acumulaban miles de descargas. El objetivo principal de los ciberdelincuentes era robar cuentas de juegos e instalar malware adicional en los dispositivos de las víctimas.
Steam cuenta con millones de usuarios en todo el mundo y es una de las plataformas de videojuegos más populares entre los jugadores españoles. Su función Steam Workshop permite encontrar, instalar y gestionar fácilmente contenido creado por la comunidad, como modificaciones, mapas personalizados, objetos para juegos o fondos de pantalla, una comodidad que los ciberdelincuentes están aprovechando para distribuir amenazas ocultas tras archivos aparentemente inofensivos. Por su parte, la aplicación Wallpaper Engine admite distintos formatos de fondos de pantalla, incluidos vídeos, escenas interactivas, páginas web y aplicaciones.
La posibilidad de utilizar fondos de pantalla basados en aplicaciones permite ejecutar programas directamente en el ordenador con Windows del usuario, lo que facilita que los ciberdelincuentes distribuyan software malicioso bajo la apariencia de contenido legítimo. Kaspersky ha identificado decenas de paquetes de fondos de pantalla infectados disponibles a través de Steam Workshop. Muchos de ellos acumulaban miles e incluso decenas de miles de descargas.
Los ciberdelincuentes han empleado dos métodos principales de distribución. En algunos casos, archivos ejecutables maliciosos, bibliotecas DLL y scripts se incluían directamente dentro del paquete del fondo de pantalla. En otros, el malware se ocultaba en archivos comprimidos protegidos con contraseña, cuya clave aparecía en el nombre del archivo o en los ficheros de configuración. Una vez instalado el fondo de pantalla, las cargas maliciosas se ejecutaban automáticamente.
Por ejemplo, una de las muestras maliciosas descubiertas en diciembre de 2025 parecía funcionar con total normalidad. El fondo de pantalla iniciaba un pequeño juego de escritorio integrado sin mostrar ningún signo visible de compromiso. Sin embargo, en segundo plano desplegaba la puerta trasera DarkKomet e instalaba una biblioteca modificada diseñada específicamente para atacar a usuarios de Steam, robando información de las cuentas y secuestrando sesiones activas de la plataforma.
Las campañas detectadas probablemente se han llevadas a cabo por distintos ciberdelincuentes independientes y no por un único grupo organizado. Además, no se limitaron a una sola familia de malware. En distintos casos, Kaspersky ha identificado fondos de pantalla maliciosos que distribuían los infostealers Lumma y Vidar, así como el cargador RenEngine. Las soluciones de seguridad de Kaspersky detectan y bloquean todas las amenazas asociadas a esta campaña.
"Las plataformas de confianza también pueden ser utilizadas para distribuir malware. Estos ciberataques se basan en la confianza que los usuarios depositan en contenidos alojados dentro de ecosistemas legítimos. Aunque muchas de las familias de malware utilizadas son bien conocidas, este método de distribución permite a los ciberdelincuentes llegar a un gran número de víctimas potenciales mediante contenidos aparentemente inofensivos”, explica Maxim Starodubov, experto en ciberseguridad de Kaspersky.
Para evitar este tipo de ciberamaneazas, los analistas de Kaspersky recomiendan a los usuarios:
Extremar la precaución al descargar cualquier aplicación o contenido, incluso cuando proceda de plataformas aparentemente fiables.
Verificar la reputación y legitimidad de los creadores antes de instalar contenido generado por otros usuarios.
Utilizar soluciones de ciberseguridad de confianza capaces de detectar y bloquear amenazas antes de que comprometan el dispositivo.
Para más información sobre el caso, se puede consultar el informe completo en el siguiente enlace.
