SteamゲームMODがクリスマスの日にマルウェアを配信 - Epsilon Information StealerがSlay the Spire拡張に隠されていた

クリスマス期間中、攻撃者はDownfall開発元のSteamアカウントにアクセスし、「Epsilon Information Stealer」と呼ばれるマルウェアを使ってゲームのダウンロードデータを侵害しました。Downfallは、Steamで入手可能なインディーゲーム「Slay the Spire」用の無料ファンメイドMODです。このマルウェアは、Steamワークショップ経由でインストールされたMODではなく、パッケージ化されたスタンドアロン版のDownfallのみに感染しました。また、マルウェアが仕込まれたダウンロードは、発見されるまでわずか1時間しか利用できなかったことも指摘しておきます。

Epsilon Information Stealerマルウェアは、感染したユーザーのパスワードを、インストール済みのインターネットブラウザ、Cookie、Discord、Steam、そしてTelegramに保存されている情報から盗むために利用されます。Downfallの開発者はBleeping Computerに対し、「弊社のデバイスの1つがマルウェアに感染しましたが、そのデバイスで実行していたセキュリティ対策では検知もブロックもされませんでした。現時点で私が把握している限りでは、2FAがマルウェアの起動や阻止を誘発しなかったため、パスワード窃盗型マルウェアではありませんでした。また、侵害されたアカウントはすべて異なるメールアドレスで登録されており（これらのアドレス自体は盗まれていません）、専門家による侵害の評価が完了するまでは確信が持てないとすぐに付け加えました。 

開発者はSteamでこの情報漏洩に関するアップデートを投稿し、クリスマス期間中にUnityのポップアップが表示された場合は、特に2要素認証を設定していないユーザーはパスワードを変更するよう推奨しました。開発者はさらに、「モバイル2FAを設定されているアカウントは影響を受けないはずです。また、ライブプロテクションが有効になっていることを確認し、スキャンを実行してください。万全を期すため、私は影響を受けたハードウェアのすべてのドライブをリセットして消去することにしました」と述べています。開発者はまた、影響を受けたユーザーがサポートを必要とする場合は、Discord経由で連絡できるとしています。セキュリティのために、デフォルトで2段階認証システムを使用することは常に良い考えです。 

Epsilon Information Stealerは、ゲームコミュニティのMODを介した攻撃によく使用されます。Discordのゲーマーは、ダウンロードがゲームのアドオンやテストビルドであるかのように装い、このマルウェアをインストールさせられることがよくあります。そして、バグを見つけるための支援を求めています。 

スタンドアロンMODやサードパーティ製MODを用いて情報窃盗マルウェアを拡散する手口が、近年増加傾向にあります。例えば、 MinecraftのMODは以前、攻撃者がBleeding Pipeマルウェアを無防備なユーザーに拡散させるために好んで利用されていました。Steamは10月から、侵害されたファイルのアップロードを防ぐため、開発者にSMSベースのセキュリティ認証システムの使用を義務付けています。今回のEpsilon Information Stealerがどのように侵入したのか、最終的な「専門家による評価」がどうなるのか、非常に興味深いところです。