Steam盗号木马窃取授权文件，360安全大脑强力拦截

近日，360安全大脑接到诸多用户反馈，很多用户出现steam账号被盗，绑定的手机令牌无缘无故出现提示令牌验证码等状况。经过我们分析发现，很多用户是利用第三方安装程序安装的steam客户端，而这类第三方安装程序携带恶意代码，在安装steam客户端的同时会窃取用户的账号密码和ssfn授权文件。在此我们也提醒广大游戏玩家，使用官网提供的游戏安装程序，以免游戏账号被盗。

技术分析
通过溯源分析，我们找到了传播此类木马的下载站，下载站页面截图，如下图所示：

Steam盗号木马窃取授权文件，360安全大脑强力拦截

在该网站下载的安装包与steam官网下载的安装包图标是一样的，但是官网下载的安装程序携带正常的数字签名，两者文件属性对比，如下图所示：

当用户使用第三方安装程序后，病毒代码会被激活，通过创建一个定时器来执行相关盗号逻辑。定时器会不断遍历steam安装目录，当找到ssfn授权文件后，再去steam进程的内存中搜索登录名和密码，最后将搜集到的数据发送到C&C服务器，整体代码逻辑，如下图所示：

利用wireshark抓包：

黑产链分析
我们在网上看到有很多此类中毒问题的帖子，其中还有热心网友贴出"定制"此类盗号木马的很多信息，提醒steam用户防止被盗号，相关帖子信息如下：

而黑产团队通过此类木马盗取steam账号之后，再通过网上各种渠道低价将账号出售，我们在网上找到大量关于交易steam账号的信息，每个steam账号加上ssfn授权文件的市场价为20元/个。

事实上，对于很多steam玩家来说，在一个steam账号上的投入绝对不止20元人民币，但是对于黑产来说，只是众多流水账上的一个数据。很多玩家面对盗号木马也只是"英雄难过盗号关"。

安全建议
面对近期泛滥的盗号木马，360安全大脑建议各位游戏玩家开启360安全卫士"Steam盗号防护"，七项防护层层拦截Steam盗号攻击，全面保障用户的账号安全：

（1）可识别虚假的页面，防止钓鱼页面骗取帐号密码；

（2）可识别伪造的登录窗口，防止攻击者利用欺诈手段盗取帐户密码；

（3）防止攻击者使用键盘记录器偷偷记录你的帐号信息；

（4）拦截恶意程序读取Steam的关键数据，防止游戏信息泄露；

（5）防止恶意进程注入Steam平台，保护游戏不被篡改；

（6）保护Stream游戏安装目录不被篡改、感染；

（7）可实现对Steam的模块劫持攻击的拦截