假冒Steam皮膚贈品網站竊取登錄憑證
近日，犯罪分子創建了一個假冒的Steam皮膚贈品網站，該網站聲稱每天都會提供新皮膚，但實際上，它只是藉此竊取您的登錄憑證。
最初該網路釣魚網站是由研究人員nullcookies發現的，他在Twitter上發布了有關該網站的警告。
在nullcookies告訴我們Steam釣魚網站通常是直接在Steam上推廣後，我們進行了相關搜索，發現這個騙局是通過對Steam個人資料的評論來宣傳的。這些評論說：「親愛的贏家！您的SteamID被選為「每周贈品」的贏家。請在giveavvay.com上獲取你的Karambit | Doppler.
在Steam個人資料上推廣釣魚網站
這時，如果用戶訪問推薦網站，他們會看到一個假裝成「 30,000美元贈品」的促銷活動，其中包含26天的免費皮膚贈品，用於CSGO(Counter-Strike: Global Offensive)。另外，該網路釣魚登錄頁面的左側還有一個偽造的正在運行的聊天屏幕。
假Steam贈品網站
為了獲得免費的皮膚，該網站會告訴您使用您的Steam憑證登錄該網站，然後等待「 SKIN RAIN」一詞出現在聊天中。當它們出現時，該網站提示您應該單擊這些單詞以獲取當天提供的免費皮膚之一。
每日送皮膚
他們還說，這些皮膚據稱是由G2A、Handouts、opencases.cheap、GamDom、Kinguin和FaceIt贊助的。不用說，你也不應該相信這個網站上的內容。
另外，該網站上顯示的聊天消息也是偽造的，並不是由實際訪問者創建的。相反，JavaScript腳本包含一系列短語，這些短語是隨機選擇的，並插入到聊天中使其看起來像是一個真的對話。並且選擇了許多時事的聊天字元串，例如湖人隊和其他NBA球隊的比賽。
隨機聊天消息
如果用戶上當，點擊「通過Steam登錄」按鈕，它將假裝從Steam打開登錄頁面，並且顯示偽造的Steam登錄頁面。儘管此屏幕看起來像普通的Steam登錄，但輸入的所有登錄憑據都將會發送給攻擊者。
假Steam登錄頁面
登錄時，詐騙網站還將啟動一個合法的Steam Guard請求，並提示您通過該請求，以便他們獲取代碼。
Steam Guard提示
攻擊者一旦獲得了受害者的登錄憑證的訪問權，便可以劫持其Steam帳戶，交易物品並進行其他惡意活動，例如推廣他們的騙局。
不過值得慶幸的是，該網路釣魚頁面被大量報道，並且由Cloudflare託管，因此將會向嘗試訪問該頁面的用戶顯示警報，並警告該網站為可疑網路釣魚網站。
Cloudflare網路釣魚警告
為了免受此類網站的攻擊，所有Steam用戶僅應直接從steampowered.com域登錄Steam。如果您要使用其他網站登錄Steam，請確保在輸入任何登錄憑證之前，對該網站進行深入的研究。
註：本文翻譯自：https://www.bleepingcomputer.com/news/security/fake-steam-skin-giveaway-site-steals-your-login-credentials/
