一、执行摘要

本次分析的恶意样本是一款高度定制化、针对 Steam 客户端的账户劫持木马。

该威胁通过“前端文件篡改”与“底层内存劫持”相结合的双层架构，实施隐蔽的钓鱼攻击。

攻击链主要分为两个阶段：

1.静态篡改与凭证窃取阶段： 恶意软件通过预定义的硬编码路径定位 Steam 安装目录，解析 userdata 目录与 localconfig.vdf 文件以窃取目标用户的敏感会话信息。随后，程序直接篡改 SteamUI 的核心 JavaScript 代码，强行关闭官方安全告警逻辑，伪造 SSL 安全凭证（强制显示绿锁），并将客户端的正常交互动作（如点击“开始游戏”）以及原生客服路由重定向至攻击者控制的 C2 节点。

2.动态劫持与持久化阶段： 样本利用 DLL 侧载技术，将恶意模块 version.dll 植入 Steam 的 Chromium 嵌入式框架（CEF）目录中实现持久化。当注入到 steamwebhelper.exe 进程后，该 DLL 在内存中对 CEF 的核心导出函数及客户端回调虚表（VTable）实施 Inline Hook。通过静默拦截特定的网络导航请求（如 HelpTradeRestore），恶意组件会异步强制客户端加载伪造的客服红信页面，并同时裁剪右键菜单功能以阻断用户的审查与调试。

二、恶意行为分析

主程序详细分析

恶意软件并未实现对整个文件系统的遍历或者读取注册表的Steam的安装路径，而是在程序内部嵌入了四个预定义的路径，在扫描的过程中，根据这四个路径拼凑出 steam.exe 的绝对路径，通过读取该文件是否存在来判断路径是否命中。

"C:\\Program Files (x86)\\Steam"
"C:\\Program Files\\Steam"
"D:\\Steam"
"E:\\Steam"

在定位 Steam 安装路径后，会拼凑出 userdata 的绝对路径，接着根据文件时间来找出最近登录过的那个账户的ID。

在决定好受害者之后，该恶意软件会读取 localconfig.vdf 的内容，尝试从里面提取敏感信息。

接着恶意软件会定位 steamui 的绝对路径，开始实施页面伪造。

该恶意软件实现了一个函数用来扫描 js 文件，并对 js 代码进行替换，从而改变原始代码的执行流。

!!this.m_CurrentUser?.bSupportPopupMessage 和 this.m_CurrentUser.bSupportAlertActive 这几行代码用来检测当前用户是否有弹窗消息和安全警告是否激活。

该恶意软件会搜索这几行代码，并把它们强行替换为 0。这样一来，如果 Steam 官方发现账号异地登录，发出了红色的安全警告，受害者的客户端上也会什么都不显示。

&&a&&a.startsWith("https://")&&r?.bIsSecure... 是 Steam 内置浏览器的地址栏绘制代码。

该恶意软件同样篡改了这段逻辑，使得无论浏览器访问的是什么钓鱼网站（哪怕没有 HTTPS 证书、证书报错），浏览器的地址栏上都会显示一把绿色的安全锁。受害者一看有安全锁，就会放松警惕。

在代码篡改成功之后，恶意软件开始动态构建用于数据回传和流量劫持的 C2 链接。恶意代码同时拼接了两套 URL 结构。一套用于后台 API 通信（/steamhelper），另一套包含 .html 后缀用于前端劫持渲染。

随后恶意软件把这些网址动态写入到一段 JavaScript 代码中，最终用来篡改 SteamUI。

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！