El software malicioso proviene de un bot que bombardea el chat de Twitch con falsas ofertas para ganar ítems in-game en el título Counter-Strike: Global Offensive. El enlace dirige a un programa en Java que demanda al usuario su nombre, dirección de email y permiso para publicar el nombre del ganador.
En caso de caer en la trampa, el programa instala un archivo que gana control total sobre la cuenta de Steam del usuario, incluyendo la posibilidad de realizar capturas de pantalla, añadir amigos y comerciar libremente en la plataforma. Según F-Secure, las víctimas del malware han visto desaparecer el importe almacenado en su cartera y todos los ítems digitales de su inventario, incluso los cupones de descuento para la tienda de Steam.
Algunos de los objetos desaparecidos se venden por descuentos de entre el 12% y el 35%, para asegurar su venta, o bien se comercia con ellos sin recibir nada a cambio. Los usuarios afectados por la estafa están informando en los foros de SteamRep que los ítems robados se entregan a una cuenta bajo el nombre de "Youni".
El malware no dispara las medidas de seguridad del cliente de Steam debido a que utiliza la máquina infectada para sus operaciones. F-Secure señala la necesidad de que Valve implemente una nueva barrera de seguridad que impida comerciar con múltiples objetos entre amigos recién agregados.
Twitch ha comunicado a la BBC que el suceso no cuenta con precedente en el portal, pero recomienda a la comunidad no seguir ningún enlace de fuentes desconocidas. Igualmente, el servicio de streaming recuerda que los emisores de contenidos tienen opciones para desactivar los links en los chats de sus salas.
