Le profit avant les joueurs : l'affaire BlockBlasters (Scandales sur Steam, 1re partie)

Introduction : un crime par négligence délibérée

En août 2025, Steam, la plus grande plateforme de jeux vidéo au monde, n'a pas seulement été victime d'une faille de sécurité ; elle en a activement favorisé une. À la suite d'une série de défaillances systémiques et de négligences graves, Valve a permis au jeu BlockBlasters (AppID 3872350) pour servir de cheval de Troie à une campagne de logiciels malveillants dévastatrice. Il ne s'agissait pas d'une attaque sophistiquée et inévitable. C'était une opération de vol de données digne d'un manuel qui a abouti parce que la sécurité de Steam est fondamentalement défaillante. Pendant 22 jours, elle a permis de dérober des centaines de milliers de dollars, de vider des portefeuilles cryptographiques et de compromettre des comptes d'utilisateurs, tandis que Valve restait les bras croisés.

Lorsque la vérité a éclaté, Valve n'a pas cherché à protéger ses utilisateurs, mais à préserver son image. La société a publié un communiqué unique et mensonger, imputant la responsabilité à un « compte de développeur piraté » — un mensonge pathétique destiné à rejeter la faute sur autrui et à se soustraire à toute responsabilité. Cet article va démanteler ce mensonge. À l'aide de données d'investigation, d'une analyse chronologique et des propres politiques de Valve, nous prouverons que cet incident n'était pas seulement un manquement à son devoir d'action, mais une dissimulation délibérée d'une négligence criminelle.

Les 22 jours d'inaction

Valve disposait de 22 jours pour mettre fin à cette situation. Les signalements des utilisateurs affluaient, et les données de la plateforme montraient clairement des signes de problèmes. Leur silence était un choix.

L'analyse de l'attaque

Il ne s'agissait pas d'un logiciel malveillant de pointe. C'était un mélange rudimentaire mais efficace de scripts courants et de programmes de vol de données qu'une plateforme pesant plusieurs milliards de dollars aurait dû détecter sans difficulté.

Étape 1 : Infiltration initiale (game2.bat)

La charge utile initiale, un simple script batch, effectuait une reconnaissance de base : collecte d'adresses IP, de données de géolocalisation et d'informations sur les utilisateurs de Steam. Elle téléchargeait ensuite un fichier ZIP protégé par mot de passe (v1.zip) — une technique classique pour contourner les scanners automatisés peu sophistiqués.

Étape 2 : Contournement et intensification (chargeurs VBS)

À l'aide de scripts VBS, le logiciel malveillant a exécuté ses composants principaux dans des fenêtres de commande masquées. Il a ajouté son propre répertoire à la liste d'exclusion de Microsoft Defender, une action qui devrait déclencher une alerte immédiate et hautement prioritaire sur tout système surveillé.

Étape 3 : Vol de données (Client-built2.exe et Block1.exe)

Une fois les défenses désactivées, le logiciel malveillant a déployé ses principales charges utiles : une porte dérobée en Python permettant un accès persistant et une variante du voleur d’informations StealC. Il a ciblé les données de navigation, les jetons de session et, surtout, les portefeuilles de cryptomonnaies sur Chrome, Edge et Brave. Toutes les données volées ont été acheminées vers deux serveurs de commande et de contrôle via un trafic HTTP non sécurisé. Les indicateurs de compromission (IOC) liés au voleur de cryptomonnaies ont confirmé que Steam servait de vecteur de distribution de logiciels malveillants pour des opérations de vol organisées.

Indicateurs de compromission (IoC)

Démystifier le mensonge : cette histoire de « compte piraté », c'est n'importe quoi

Appelons l'excuse de Valve concernant le « développeur piraté » par son vrai nom : un mensonge pathétique et facile à réfuter. C'est une insulte à l'intelligence de leurs utilisateurs, un discours conçu pour les protéger des conséquences de leur propre négligence. Tout ce scénario s'effondre dès lors que l'on examine les procédures obligatoires de Steam.

• La « barrière des 100 dollars » et la vérification d'identité : Pour publier sur Steam, tout développeur doit passer par le programme Steam Direct. Cela implique de s'acquitter d'une redevance de 100 dollars et de suivre une procédure de vérification d'identité (KYC), en fournissant son nom légal, ses coordonnées bancaires et des documents fiscaux. L'auteur n'était pas un fantôme anonyme ; Valve disposait dans ses dossiers de son identité vérifiée et de ses coordonnées bancaires. Son inaction apparaît donc comme un choix délibéré visant à protéger un partenaire vérifié au détriment de ses propres utilisateurs.
• Le mythe des 22 jours de coupure d'électricité : Steamworks met à la disposition des développeurs des outils fiables pour sécuriser leurs comptes. Un développeur légitime ayant perdu le contrôle de son compte pourrait ouvrir un ticket pour « perte d'accès aux identifiants d'éditeur ». Ce processus est conçu pour être rapide, bloquant les droits de publication et les versions en quelques heures, et non en plusieurs semaines. L'idée qu'un développeur puisse être bloqué pendant plus de 20 jours alors que son jeu diffuse des logiciels malveillants est absurde. Cela implique l'un des deux scénarios suivants, qui mettent tous deux Valve en cause : soit le développeur était complice, soit Valve a ignoré ses tickets d'assistance frénétiques ainsi que les dizaines de plaintes des utilisateurs.
• Ignorer systématiquement les plaintes des utilisateurs : Des dizaines d'utilisateurs ont signalé en détail des cas de vol financier, de comportement malveillant et de piratage de comptes. Il ne s'agissait pas de simples plaintes vagues, mais d'informations exploitables. Un service d'assistance compétent aurait dû les signaler, faire remonter le problème et suspendre la page de l'application dans les 24 heures, en attendant les résultats de l'enquête. Le fait que Valve n'ait rien fait pendant 22 jours n'est pas un simple oubli ; c'est une politique d'ignorance délibérée.

La super-supercherie : la falsification d'une scène de crime numérique

C'est là que la dissimulation de Valve passe de la simple négligence à ce qu'on ne peut qualifier que de altération d'une scène de crime numérique. Qu'il soit clair : Valve n'a pas retiré le jeu infecté.

Les preuves et analyses techniques fournies par les chercheurs en sécurité qui ont suivi l'infrastructure C2 le confirment sans équivoque : ce sont les criminels eux-mêmes qui ont supprimé leurs versions malveillantes des serveurs de Steam. Ils l'ont fait le 21 septembre, seulement après que leur groupe de contrôle sur Telegram eut été rendu public. Ils ont procédé à une « stratégie de la terre brûlée » pour se retirer, détruisant les preuves afin de brouiller les pistes.

L'affirmation de Valve selon laquelle elle aurait pris des mesures est une pure invention. En attendant que les pirates effacent leurs traces avant d'intervenir pour supprimer la page de la boutique, Valve a en réalité permis la destruction des principales preuves. Il ne s'agissait pas de limiter les dégâts, mais bien d'entraver la justice. Ils ne protégeaient pas les utilisateurs ; ils se protégeaient eux-mêmes en s'assurant que la scène du crime soit nettoyée.

Le coût humain de l'indifférence des entreprises

La négligence de Valve a eu des conséquences concrètes, pour lesquelles elle n'a assumé aucune responsabilité.

• Ruine financière : Plus de 150 000 dollars américains ont été volés (il semblerait même que ce soit plus d'un million de dollars). Pour beaucoup, cette somme aurait pu changer le cours de leur vie. Un streamer a perdu 32 000 dollars lors d'une diffusion en direct organisée au profit d'une association de lutte contre le cancer.
• Abus de confiance : Des centaines d'utilisateurs ont vu leurs comptes piratés, leurs données volées et leurs systèmes infectés.
• Silence absolu : À ce jour, Valve n'a proposé ni remboursement, ni dédommagement, ni excuses sincères. Sa réponse standard constituait une insulte pour toutes les victimes.

La motivation : le profit avant tout

Pourquoi Valve laisserait-elle cela se produire ? La raison est aussi simple que cynique : c'était moins cher.

Une véritable refonte de la sécurité — impliquant la mise en place de tests en bac à sable pour toutes les versions, la séparation des identifiants des développeurs, le recrutement d'une équipe de sécurité compétente et la publication de rapports de transparence — coûterait des millions. Le versement d'indemnités aux victimes créerait un précédent coûteux.

L'alternative ? Publier un communiqué vague et trompeur, laisser l'actualité passer à autre chose et limiter au maximum les retombées négatives en termes de relations publiques. Il s'agissait d'une décision commerciale mûrement réfléchie, dans laquelle la sécurité des utilisateurs a été considérée comme une perte acceptable.

Ce manque de vigilance n'est pas nouveau. De PirateFi (2024) à Chemia (2025), Valve a ignoré à maintes reprises les avertissements et laissé des logiciels malveillants s'introduire sur sa plateforme, n'agissant qu'après un tollé général. BlockBlasters n'était pas un cas isolé ; c'était le résultat inévitable d'une culture de sécurité défaillante.

Verdict final : coupable des faits qui lui sont reprochés

Laissons les faits parler d'eux-mêmes.

• Fait : Les systèmes automatisés de Valve ont validé une version contenant un logiciel malveillant mineur.
• Fait : L'équipe d'assistance de Valve a ignoré les avertissements directs des victimes pendant trois semaines.
• Fait : Valve n'est intervenue qu'après que les pirates eux-mêmes aient supprimé les fichiers malveillants.
• Fait : La déclaration officielle de Valve constituait une présentation délibérément trompeuse des faits, destinée à échapper à toute responsabilité.

Valve n'a pas simplement échoué. Elle a menti. Elle a dissimulé sa propre négligence, protégé ses profits et laissé ses utilisateurs en payer le prix. La confiance que la communauté accordait à Steam a été irrémédiablement brisée. Ce n'était pas une erreur ; c'était une trahison.