疑似Wallpaper Engine 恶意壁纸样本技术分析：python加载器盗号

sxaq

近日，我司安全团队接获用户反馈，称其在Steam平台热门应用Wallpaper Engine（壁纸引擎）中发现可疑样本。尽管该应用官方已于此前更新中移除了创意工坊内的“应用程序”壁纸分类，并明确表示该类壁纸因拥有完整的系统访问权限而存在安全风险，但已被用户下载到本地的旧壁纸仍可能持续存在。本着严谨求证的态度，安全团队对该样本进行了完整逆向分析。

一、Wallpaper Engine官方公告

从得到的压缩包上来看，这个样本应该是基于python环境运行的。

二、从WindowsUpdate.exe开始分析

fn_PyEnvInit：初始化环境，并且将自身目录下的lib加载到python的环境中。

读取lib\library.dat的文件内容：
library.zip
library.zip中*.pyc文件->

fn_RunPyc:执行lib\library.zip\__startup__.pyc模块中init与run函数


三、startup.pyc反编译分析


这里的进程名是"WindowsUpdate.exe"，但是在lib/library.zip中没有这个pyc模块。所以会抛出异常，执行到异常处理流程。异常处理流程会读取BUILD_CONSTANTS.__EXECUTABLES__作为模块加载名。

四、BUILD_CONSTANTS.pyc反编译代码

可以看到这里的__EXECUTABLES__等于bridge24eccd.exe,所以__startup__.pyc会加载__init__bridge24eccd.pyc模块和__main__bridge24eccd.pyc模块。

五、initbridge24eccd.pyc反编译代码

六、mainbridge24eccd.pyc反编译代码

__main__bridge24eccd.pyc的功能是加载\data\2162f0e7.idx和\data\e88d539d.bin进行解密后加载执行解密后的模块。函数_load_blob：核心解密函数函数runtime_manifest：路径配置模块函数_run：执行解密后的代码从e88d539d.bin解密后的脚本我们称为stage2_fixed_bin.pyc

七、stage2_fixed_bin.pyc 核心脚本
注：以下代码由 PyLingual 对 Python 3.14rc3 字节码反编译得到，存在反编译器控制流错乱的伪影。下文的功能归纳均按实际语义还原，并非逐字引用反编译文本；这些伪影不代表样本的真实运行逻辑。
注:这里的反编译代码中,我并没有添加注释，现在所看到的注释都是原脚本中自带的。为了节约篇幅，以下反汇编代码中仅保留部分代码以及原有注释。
函数功能展示：


控制台/状态显示相关


令牌窃取 — 内存扫描（核心恶意功能）


令牌窃取 — 本地文件解码


令牌上传（C2通信）


授权检查与下载执行（C2核心逻辑）


持久化/自启（逃避360安全软件）


Steam路径发现


Wallpaper Engine 举报补丁（隐藏举报功能）


Steam CSS 举报补丁（webkit.css）


SteamUI chunk注入补丁（劫持Steam帮助/支持页面 → 钓鱼）



举报补丁线程（WE + Steam CSS）



下载日志上报



主流程



模块流程

持久化机制：
    - 注册表 HKCU\...\Run 键名 "ServiceAppMscopiAuto"
    - 计划任务 "ServiceApp360GuardLogon" (登录时触发)
    - 仅在360tray.exe未运行时写入（避免被拦截）
Steam劫持效果：
    - 所有Steam帮助/支持页面 → 跳转到 fytttxzk.top 钓鱼站
    - 钓鱼URL携带：SteamID64、账户名、头像hash(注：上述三项（SteamID64、账户名、头像 hash）均为 Steam 本地 localconfig.vdf 中可读的公开标识，并非密码或会话令牌；其用途是让钓鱼页伪造成该用户的帮助/支持页面以提升欺骗性。)
    - 写入steam.cfg禁止Steam自更新（防止补丁被修复）
    - WE和Steam中的举报按钮被隐藏/失效。

七、特征
WindowsUpdate.exe
md5->23a74c1a2d73e01f4e2e35aa346e84d8
sha256->7bebaf01aef27ca56a8604912e300ab21102615094eb44474f1e51f4a4999bb2

八、域名
lumnexo.org
fytttxzk.top
skylinemediaworld.top
ultracloudmarket.top
nexustechsolution.top
advancedwebfactory.top
fastdigitalcenter.top
vorqube.com
luminovastella.top
veloriquantica.top
quantumservernode.top
zentravolix.top
toralumivent.top
clyveron.org
vexorandria.top
yywuxfll.top
uuyyywuul.top
zentryxful.icu

qiushangbielian

这也能盗号

q5501948

我没注意到呢 笔记本装的有

zhangzhibo139

看不懂，这种工坊式的东西真不好说

tfeng

学习学习

rongqinze

小红车太离谱了，之前我就觉得这种壁纸能放能放视频，游戏就有风险，创意工坊的开放度太大了。

LilDawn

666居然能看到python的盗号木马

wh11o7

不是，我还真下载过这种类似应用程序，咋整？删除文件也不行吗？