怪物马戏团 | 文
最近一个月，一款叫《PirateFi》的Steam免费游戏吸引了不少关注，不过不是因为它多好，而是因为它是个病毒。
《PirateFi》是今年2月6日发布的，供玩家免费下载，是个海盗主题的生存游戏。因为游戏免费，截图看着也还行，所以引得一些人下载。谁知很快，这些人的电脑就开始出毛病了：装了杀毒软件的开始报错，没装的则开始暴死。
原来游戏里藏了个木马，当你运行游戏时，就会解压到/AppData/Temp/****/文件夹下，被隐藏成不引人注目的exe文件。接着，病毒就会窃取用户的浏览器cookie。
由于cookie中保存着用户在一些网站上的密码，以及浏览痕迹和网页状态，所以发送病毒的人，能借此劫持玩家的部分账户。
比如，有玩家反馈说自己的账号被盗，密码被改；还有玩家说自己的Roblox 账户余额里的钱被偷了，他的朋友还收到了由他账户发出的诈骗信息。
随着陆续有玩家表示电脑中招，Steam也很快下架了游戏，还发邮件给相关玩家警告风险，并封禁了开发商。只是考虑到这开发商就这一款游戏，所以也其实没什么卵用，只能算是亡羊补牢。
这个事情的影响看似不大，因为发现及时，所以受影响的玩家不超过两千人。然而它激起的更值得警惕的问题是：这病毒到底是怎么混进来的？
要知道，Steam不是简单的数字发行平台，它对自家平台上的游戏，按理来说是要经过一层严格审查的。违法分子原本不该能将病毒藏进安装包里，因为这个安装包首先要交付给Steam查杀，而Steam对待这方面安全问题的态度，出了名的严格。
所以多年来，一直有人质疑Steam的游戏会不会夹带病毒，可很长时间里都没出现过这种，下载的游戏直接带病毒的情况。让人不禁怀疑上传这游戏的人，是不是找到了什么漏洞。
实际上，《PirateFi》的骚操作还不止于此。它之所以看着不错，能吸引部分玩家，是因为游戏盗用了另一款游戏的截图，却绕开了Steam的审查，因为被偷素材的游戏没上Steam。
此外，这游戏能避开无人关注，石沉大海的命运，也是因为另一个Steam外的骗局：许多海外的游戏电报群里，都收到了《PirateFi》的招募邮件，说是招募游戏内的聊天员。
实际上压根就没这个岗位，那些被骗了的玩家，会先和自动聊天机器人来上一段太极拳，然后被兜兜转转骗去下载游戏。所以招聘广告的目的只有一个：增加游戏的下载量和在线人数，让其排名升高。
Steam上经常有一些低价游戏和免费游戏，但有时真的需要小心。除了这次说的《PirateFi》外，Steam上还有一堆臭名昭著的挖矿游戏，能悄悄把你的电脑变成矿机，我相信一些朋友肯定看过相关报道。
比如18年的《Abstractism》，就是一款免费的挖矿游戏，偷偷大量占用电脑的CPU和GPU资源，而且游戏的各种设计，都是为了延长玩家的在线时间，好多挖爽挖。
最初玩家发现不对劲时，《Abstractism》的开发商还放屁说游戏占用资源多，是因为画面所需配置太高了。信不信由你，有玩家甚至帮着他们说话。但看一眼这游戏的画面，你就会知道这解释有多离谱。
最后，在各种实锤下，《Abstractism》的开发商终于认罪了，虽然他们死前还要狡辩一番，很荒唐地辩解说自己根本没在偷偷用游戏挖比特币——因为他们挖的是另一种虚拟货币。
而且，也像是今天提到的《PirateFi》，《Abstractism》身上不止有一种骗术。它还搞了一堆毫无价值的交易道具，但外型和名字，都在模仿知名游戏的值钱道具，让一些冤大头玩家不小心买错。
这事之所以被发现，正是因为一个《军团要塞2》的玩家，花100美金买了个游戏道具，结果发现是《Abstractism》的山寨版——要说为什么这游戏听着这么抽象，那自然是因为，Abstractism本来就是“抽象主义（abstractionism）”的山寨变体词。
这种挖矿软件可不是个例，，它挪用了另一款类似游戏的玩法，换成萌系素材，然后一举冲上了Steam畅销榜。
别看那游戏好评率有91%，实际上评论里许多人都指出，这游戏会在电脑上有不正常的资源占有率。而且诡异的是，游戏对10系和40系显卡的资源占比，竟然都是一样的，和那款被它“借鉴”的小游戏相差十万八千里。
同样，这款游戏的制作方也没有正面回复这问题，许多玩家也一样在为制作方说话，甚至我们那篇文章的评论中，都有人认为把自己的电脑变成矿机没什么不好——bro，别这样。
我觉得，当大家看到类似评论时，至少应该警惕一下，因为Steam并不是个密不透风的堡垒。在如今这个假Steam都能满天飞的环境里，许多人对病毒的防范心理其实是越来越弱的。
再比如2022年的《Maurice》，同样是一款被许多玩家怀疑偷偷挖矿的游戏，可以用很低的画质，把你的GPU和CPU占用到接近100%。
然而就是因为它是个免费游戏，大量玩家依旧不在乎地给它打好评，要么就是开一些被许多人顶的玩笑测评，把那些警告大家，这游戏可能在挖矿的评价挤到你看不见的地方，就算其实有数百人为这些警告评论点赞——你会发现，制作组同样不会去回复这样的评论，在那些说自己的电脑因为这游戏坏掉的差评里，制作组倒是会说：“这不可能哇，Steam不会允许安装包里有病毒的口牙”。
所以Steam的安装包里到底会不会夹杂病毒呢？我想，《PirateFi》至少说明这是有漏洞可钻的。
而且，漏洞不止一种。就在2023年10月，Steam还遭受了一次黑客事件：有人想办法找到了一个漏洞，让部分游戏加载虚假的更新包，这些更新包里其实藏着木马。
为此，Steam还更新了一个新的安全措施（2FA），谁知就在当天晚些时候，一款叫《Nano war》的游戏的开发者就声称，这个基于短信的安全措施并没有起效，因为他的所有开发者账号全被盗了，而且用的也是一种盗取cookie的木马。
所以，当你想要下载一款免费游戏，或购买低价游戏时，一定要小心找找评论里有没有什么不对劲的东西。哪怕只是有点可疑，也没必要为了个实际上不会太出彩的游戏去冒险，毕竟不是每款免费游戏都是《心跳文学部》。
最后再劝告大家一句，日常小心赛博诈骗，每次出了什么新东西，BB基的编辑部也都会看到新的骗局：从假Steam到假黑神话到假Deepseek，互联网是个混沌的地方，小心一点有可能会误伤，但确实能避免你被蓄意伤。
当然，如果真看到杀毒软件在《心跳文学部》前报错，那还是把杀毒软件删掉吧——与圣莫妮卡相比，什么文件安全、个人隐私和电脑，都是过眼云烟罢了。
