Il profitto prima dei giocatori: l’insabbiamento di BlockBlasters (Scandali su Steam, Parte 1)

Introduzione: Un reato di negligenza premeditata

Nell’agosto del 2025, Steam, la più grande piattaforma di videogiochi al mondo, non solo ha subito una violazione della sicurezza, ma l’ha anche provocata attivamente. A causa di una serie di errori sistemici e di grave negligenza, Valve ha permesso che il gioco BlockBlasters (AppID 3872350) per trasformarsi in un cavallo di Troia al servizio di una devastante campagna di malware. Non si è trattato di un attacco sofisticato e inevitabile. È stata un’operazione di furto di dati da manuale, riuscita proprio perché la sicurezza di Steam è fondamentalmente compromessa. Per 22 giorni, ha sottratto centinaia di migliaia di dollari, svuotato portafogli di criptovalute e compromesso gli account degli utenti, mentre Valve non ha fatto nulla.

Quando la verità è venuta a galla, la reazione di Valve non è stata quella di proteggere i propri utenti, ma di salvaguardare la propria immagine. L’azienda ha rilasciato un unico comunicato ingannevole, attribuendo la colpa a un “account sviluppatore compromesso” — una patetica menzogna volta a scaricare la responsabilità e a proteggersi da eventuali conseguenze. Questo articolo smonterà tale menzogna. Avvalendoci di dati forensi, analisi cronologica e delle stesse politiche di Valve, dimostreremo che questo incidente non è stato solo un’omissione, ma un insabbiamento deliberato di negligenza criminale.

I 22 giorni di inazione

Valve aveva 22 giorni per porre fine a questa situazione. Le segnalazioni degli utenti si susseguivano e i dati della piattaforma mostravano chiari segnali di problemi. Il loro silenzio è stata una scelta.

L'anatomia dell'attacco

Non si trattava di un malware all’avanguardia. Era un mix rudimentale ma efficace di script comuni e programmi di furto di dati che una piattaforma da miliardi di dollari avrebbe dovuto individuare senza alcuna difficoltà.

Fase 1: Compromissione iniziale (game2.bat)

Il payload iniziale, un semplice script batch, ha eseguito un'attività di ricognizione di base: raccolta di indirizzi IP, dati di geolocalizzazione e informazioni sugli utenti di Steam. Ha poi scaricato un file ZIP protetto da password (v1.zip) — una tecnica classica per aggirare gli scanner automatici più semplici.

Fase 2: Evasione e escalation (VBS Loaders)

Utilizzando script VBS, il malware eseguiva i propri componenti principali in finestre di comando nascoste. Aggiungeva la propria directory all'elenco delle esclusioni di Microsoft Defender, un'azione che dovrebbe attivare un avviso immediato e ad alta priorità su qualsiasi sistema monitorato.

Fase 3: Furto di dati (Client-built2.exe e Block1.exe)

Una volta disattivate le difese, il malware ha distribuito i suoi payload principali: una backdoor basata su Python per garantire un accesso persistente e una variante dello stealer StealC. Ha preso di mira i dati dei browser, i token di sessione e, soprattutto, i portafogli di criptovalute su Chrome, Edge e Brave. Tutti i dati rubati sono stati convogliati verso due server di comando e controllo tramite traffico HTTP non protetto. Gli IOC relativi al drainer di criptovalute hanno confermato che Steam è stato utilizzato come vettore di distribuzione del malware per operazioni di furto organizzate.

Indicatori di compromissione (IOC)

Smascherare la menzogna: la storia dell’«account hackerato» è una vera e propria farsa

Chiamiamo la scusa di Valve sullo “sviluppatore vittima di un attacco hacker” con il suo vero nome: una bugia patetica e facilmente smentibile. È un insulto all’intelligenza dei propri utenti, una versione dei fatti architettata per proteggerli dalle conseguenze della loro stessa negligenza. Tutta questa fantasia crolla nel momento stesso in cui si esaminano le procedure obbligatorie previste da Steam.

• Il “muro dei 100 dollari” e la verifica dell’identità: Per pubblicare su Steam, ogni sviluppatore deve passare attraverso il programma Steam Direct. Ciò comporta il pagamento di una quota di 100 dollari e il completamento di una procedura di verifica dell’identità del cliente (KYC), fornendo nomi legali, coordinate bancarie e documenti fiscali. L’autore del reato non era un fantasma anonimo; Valve aveva in archivio la sua identità verificata e i suoi dati finanziari. Ciò rende la sua inazione una scelta consapevole volta a proteggere un partner verificato a scapito dei propri utenti.
• Il mito dei 22 giorni di blackout: Steamworks mette a disposizione degli sviluppatori strumenti affidabili per proteggere i propri account. Uno sviluppatore legittimo che abbia perso il controllo potrebbe aprire un ticket per “perdita di accesso alle credenziali dell’editore”. Questa procedura è pensata per essere rapida, bloccando i diritti di pubblicazione e le build nel giro di poche ore, non settimane. L’idea che uno sviluppatore possa rimanere escluso per oltre 20 giorni mentre il suo gioco distribuisce malware è assurda. Ciò implica uno dei due scenari seguenti, entrambi a carico di Valve: o lo sviluppatore era complice, oppure Valve ha ignorato i suoi frenetici ticket di assistenza, oltre alle decine di reclami degli utenti.
• Ignoranza sistematica dei reclami degli utenti: Decine di utenti hanno presentato segnalazioni dettagliate relative a furti finanziari, attività di malware e compromissione degli account. Non si trattava di reclami vaghi, bensì di informazioni utili per intervenire. Un sistema di assistenza competente avrebbe segnalato questi casi, avrebbe escalato il problema e avrebbe bloccato la pagina dell’app in attesa di indagini entro 24 ore. Il fatto che Valve non l’abbia fatto per 22 giorni non è una svista; è una politica di ignoranza volontaria.

L'inganno fondamentale: manomissione di una scena del crimine digitale

È qui che l’insabbiamento da parte di Valve passa dalla semplice negligenza a ciò che può essere descritto solo come manomissione di una scena del crimine digitale. Chiariamo questo punto senza ombra di dubbio: Valve non ha rimosso il gioco infetto.

Le prove forensi e le analisi condotte dai ricercatori di sicurezza che hanno monitorato l’infrastruttura C2 lo confermano in modo inequivocabile: sono stati gli stessi criminali a cancellare le loro build dannose dai server di Steam. Lo hanno fatto il 21 settembre, solo dopo che il loro gruppo di controllo su Telegram era stato reso pubblico. Hanno messo in atto una strategia di “terra bruciata”, distruggendo le prove per coprire le loro tracce.

L'affermazione di Valve secondo cui avrebbe preso provvedimenti è una palese menzogna. Aspettando che gli autori dell'attacco cancellassero le proprie tracce prima di intervenire per rimuovere la pagina dello store, Valve ha di fatto permesso che le prove principali venissero distrutte. Non si è trattato di un'azione volta a limitare i danni, ma di ostruzione alla giustizia. Non stavano proteggendo gli utenti, ma stavano proteggendo se stessi assicurandosi che la scena del crimine fosse ripulita.

Il costo umano dell'indifferenza delle aziende

La negligenza di Valve ha avuto conseguenze concrete, per le quali l'azienda non si è assunta alcuna responsabilità.

• Rovina finanziaria: Sono stati rubati oltre 150.000 dollari USA (sembra che la cifra superi il milione di dollari USA). Per molti, si trattava di una somma in grado di cambiare la vita. Uno streamer ha perso 32.000 dollari durante una diretta di beneficenza a favore della lotta contro il cancro.
• Tradimento della fiducia: Centinaia di utenti hanno subito la violazione dei propri account, il furto dei propri dati e l'infezione dei propri sistemi.
• Silenzio assoluto: Ad oggi, Valve non ha offerto alcun rimborso, alcun risarcimento né scuse sincere. La loro risposta standard è stata un insulto per ogni vittima.

Il movente: il profitto prima delle persone

Perché Valve dovrebbe permettere che ciò accada? Il motivo è tanto semplice quanto cinico: era più economico.

Una vera e propria revisione della sicurezza — che preveda l’implementazione di test in ambiente sandbox per tutte le build, la separazione delle credenziali degli sviluppatori, l’assunzione di un team di sicurezza competente e la pubblicazione di rapporti di trasparenza — costerebbe milioni. Il risarcimento delle vittime costituirebbe un precedente oneroso.

L'alternativa? Rilasciare una dichiarazione vaga e fuorviante, lasciare che l'attenzione dei media si spostasse altrove e limitare al minimo il danno d'immagine. Si è trattato di una decisione aziendale ponderata, in cui la sicurezza degli utenti è stata considerata una perdita accettabile.

Questo modello di negligenza non è una novità. Da PirateFi (2024) a Chemia (2025), Valve ha ripetutamente ignorato gli avvertimenti e permesso l’ingresso di malware sulla propria piattaforma, intervenendo solo in seguito alle proteste dell’opinione pubblica. BlockBlasters non è stato un caso isolato; è stato il risultato inevitabile di una cultura della sicurezza marcia.

Verdetto finale: colpevole dei capi d'accusa

Lasciamo che siano i fatti a parlare da soli.

• Fatto: I sistemi automatizzati di Valve hanno approvato una build contenente un malware di lieve entità.
• Fatto: Il team di assistenza di Valve ha ignorato per tre settimane gli avvertimenti diretti delle vittime.
• Fatto: Valve è intervenuta solo dopo che gli stessi hacker avevano rimosso i file dannosi.
• Fatto: La dichiarazione ufficiale di Valve costituiva una deliberata travisazione dei fatti, volta a eludere le proprie responsabilità.

Valve non si è limitata a fallire. Ha mentito. Ha insabbiato la propria negligenza, ha tutelato i propri profitti e ha lasciato che fossero gli utenti a pagarne le conseguenze. La fiducia che la comunità riponeva in Steam è stata irrimediabilmente compromessa. Non si è trattato di un errore, ma di un tradimento.