Malware en fondos animados de Steam Workshop: qué pasó y cómo elegir uno seguro en 2026
Si en las últimas semanas has visto titulares sobre "malware en fondos de pantalla de Steam" y te ha hecho dudar antes de instalar cualquier fondo animado, tiene sentido. En junio de 2026, investigadores de Kaspersky publicaron en Securelist los detalles de una campaña real que usaba el Workshop de Steam, apoyada en la popularidad de Wallpaper Engine, para colar malware dentro de paquetes que se presentaban como simples fondos animados. No fue un rumor de foro: lo confirmaron Kaspersky, Valve reaccionó retirando contenido, y la noticia la recogieron medios como BleepingComputer, Windows Central, PCGamesN y, en español, Infobae y otros.
Este artículo repasa qué encontraron exactamente, cómo funcionaba el ataque a nivel técnico, qué respondió Valve, y qué tiene que ver todo esto con el diseño de una app de fondos animados como Gloomia, que nunca ha dependido de un Workshop abierto. La idea no es sembrar alarma sobre Wallpaper Engine como programa (la propia aplicación no estaba infectada) sino explicar con precisión dónde estuvo el riesgo, para que sepas qué mirar la próxima vez que instales cualquier fondo animado, sea de la app que sea.
Qué encontró exactamente Kaspersky
Según la investigación de Kaspersky, atacantes llevaban desde al menos finales de 2025 subiendo al Workshop de Steam paquetes de fondos animados que en realidad escondían malware. Los investigadores identificaron varios paquetes infectados que ya acumulaban miles de descargas en el momento del hallazgo. Las víctimas identificadas se concentraban sobre todo en usuarios de Steam en China y Rusia, con otras infecciones detectadas en Singapur, Hong Kong, Alemania, Vietnam, India y Canadá, lo que confirma que no fue un incidente aislado ni limitado a una sola región.
El tipo de malware encontrado dentro de esos fondos era variado y, en varios casos, serio: un backdoor identificado como DarkKomet, ladrones de credenciales específicamente dirigidos a cuentas de Steam, los infostealers Lumma y Vidar (diseñados para robar contraseñas guardadas, cookies de sesión y datos de carteras de criptomonedas), criptomineros que usan la GPU sin permiso, e incluso muestras de ransomware. Es un abanico mucho más amplio y peligroso que lo que la mayoría de gente esperaría encontrar dentro de "un fondo de pantalla".
Por qué un fondo de pantalla puede llevar malware
La clave técnica del caso está en un detalle que mucha gente no tiene en cuenta: no todos los fondos animados son iguales por dentro. Un fondo de tipo vídeo o escena es, básicamente, contenido audiovisual que la app reproduce en bucle: no ejecuta código propio. Pero el Workshop de Wallpaper Engine también admite fondos de tipo "aplicación" (application wallpapers), que sí son software con capacidad de ejecutar código en el sistema, no solo de reproducir una animación. Esa categoría es la que aprovecharon los atacantes: el malware venía empaquetado directamente dentro del fondo o, en otros casos, dentro de un archivo comprimido protegido con contraseña que el propio usuario tenía que abrir e introducir a mano, un truco clásico para saltarse el escaneo automático de algunos antivirus. En ambos casos, la carga maliciosa se ejecutaba en el momento en que el usuario instalaba el fondo, sin ningún otro paso intermedio.
Dicho de otro modo: el problema no fue un fallo de seguridad en el motor gráfico de Wallpaper Engine, sino una consecuencia directa de permitir que cualquier usuario suba contenido con capacidad de ejecución a una tienda abierta con acceso a millones de personas. Cuanto más abierta y flexible es una plataforma de este tipo, más oportunidades da tanto a creadores legítimos como a quien busca abusar de ella, algo que varios medios técnicos remarcaron al cubrir el caso.
La respuesta de Valve
Tras recibir el informe de Kaspersky, Valve retiró del Workshop los paquetes concretos identificados como maliciosos antes incluso de que la investigación se hiciera pública, y reforzó los mecanismos de revisión de contenido en la plataforma. El cambio de fondo más relevante para el futuro es que la distribución pública de nuevos fondos de tipo "aplicación" a través del Workshop quedó descontinuada: los fondos de ese tipo que un usuario ya tuviera instalados en su equipo siguen pudiendo ejecutarse en local, pero ya no se pueden publicar ni descubrir nuevos a través del Workshop. Es una forma de cerrar la puerta concreta que se usó en esta campaña sin desmontar el resto de la plataforma, que sigue funcionando con normalidad para los fondos de tipo vídeo o escena, que no ejecutan código propio.
Vale la pena repetirlo con claridad porque es fácil que un titular alarmista lo mezcle todo: Wallpaper Engine como aplicación no estaba comprometida ni infectada, y la inmensa mayoría de su catálogo (que lleva construyéndose desde 2016 y supera el millón de fondos) nunca tuvo nada que ver con este ataque concreto. Si ya usas Wallpaper Engine y solo instalas fondos de tipo vídeo o escena de creadores con historial, el riesgo específico de esta campaña no te afecta directamente. Aun así, el episodio deja una lección más general sobre cómo evaluar cualquier app de fondos animados, no solo esa.
La lección de fondo: quién puede ejecutar código en tu escritorio
Este caso no es exclusivo de Wallpaper Engine ni de Steam. Cualquier plataforma que permita a usuarios anónimos subir contenido con capacidad de ejecución, y que lo distribuya a millones de personas sin una revisión exhaustiva de cada paquete, tiene el mismo tipo de riesgo estructural. No es una crítica a la idea del contenido comunitario en sí (los Workshops han dado vida a catálogos enormes en muchos programas y videojuegos), sino un recordatorio de que esa apertura tiene un coste de seguridad que hay que gestionar activamente, con revisión constante, y que nunca llega a cero del todo.
Para alguien que solo quiere un fondo animado bonito en su escritorio, sin entrar en ese debate cada vez que instala algo nuevo, la alternativa más simple es elegir una app cuyo catálogo entero lo construya y firme un único equipo responsable, sin una vía abierta para que cualquiera suba contenido ejecutable. Es exactamente el modelo con el que está construido Gloomia desde el principio, no como reacción a esta noticia sino como diseño de base.
Cómo está construido el catálogo de Gloomia
Gloomia no tiene Workshop ni ninguna vía para que un tercero suba un fondo al catálogo. Los 23 fondos disponibles, desde los tres gratuitos (Starfield, Planet System y Hue Drift) hasta el resto que se desbloquea con Gloomia Pro, los diseña y publica directamente el equipo de Gloomia, y cada instalador para Windows, macOS y Linux llega firmado digitalmente. No hay una capa intermedia de contenido comunitario que revisar caso por caso, porque esa capa simplemente no existe en el producto. Tampoco hace falta una cuenta de Steam ni una cuenta propia de Gloomia para instalar nada, ni en la capa gratuita ni al activar Pro: descargas el instalador de tu sistema, eliges un fondo y arranca, algo que ya se explica con más detalle en la comparación completa entre Gloomia y Wallpaper Engine.
La contrapartida honesta es la misma que ya se explica en esa comparación: un catálogo cerrado y construido por un solo equipo es, por definición, mucho más pequeño que un Workshop con más de un millón de fondos acumulados desde 2016. Si lo que buscas es un fondo animado hiperespecífico de un personaje o un fandom concreto, un catálogo cerrado nunca va a competir en variedad. Lo que sí ofrece a cambio es una superficie de ataque mucho más pequeña: no hay archivos comprimidos protegidos con contraseña que abrir a ciegas, ni paquetes subidos anónimamente con miles de descargas antes de que nadie los revise.
Señales de alerta al instalar cualquier fondo animado, sea de la app que sea
Independientemente de qué programa uses, este caso deja unas cuantas señales de alerta que conviene interiorizar. La primera y más clara: desconfía de cualquier fondo que llegue dentro de un archivo comprimido protegido con contraseña que te piden introducir tú mismo para abrirlo. Es exactamente el truco que usaron los atacantes de esta campaña para saltarse el escaneo automático, y ningún fondo animado legítimo necesita ese paso.
Segunda señal: comprueba si el instalador o el paquete está firmado digitalmente. En Windows y macOS, un instalador sin firma suele mostrar avisos del propio sistema operativo antes de dejarte continuar; no los ignores por costumbre. Tercera: ten más cuidado con fondos de tipo "aplicación" o "escena interactiva" que con fondos de tipo vídeo o imagen, precisamente porque los primeros pueden ejecutar código y los segundos no. Y cuarta, aplicable a cualquier tienda con contenido subido por usuarios: revisa la antigüedad de la cuenta que subió el fondo y no te fíes solo del número de descargas, que en esta campaña concreta llegó a miles antes de que nadie diera la voz de alarma.
Mantener el antivirus del sistema actualizado sigue siendo la red de seguridad básica, pero como demuestra este caso, no siempre detecta a tiempo un paquete nuevo. La prevención más eficaz sigue siendo elegir bien de dónde viene lo que instalas antes de llegar a ese punto.
Si ya usas Wallpaper Engine, qué hacer ahora
No hace falta desinstalar nada por pánico. Valve ya retiró los paquetes identificados como maliciosos y descontinuó la publicación pública de nuevos fondos de tipo aplicación en el Workshop, que era la vía concreta que se explotó. Si quieres comprobar tu propia biblioteca, revisa qué fondos de tipo aplicación tienes instalados, prioriza los de creadores con historial largo y reputación conocida, y si alguno te pidió en algún momento abrir un archivo protegido con contraseña para instalarse, es razonable desconfiar de ese en concreto y pasar un análisis completo del sistema. Para quien prefiera directamente evitar ese tipo de riesgo desde el diseño del producto, la guía de instalación de Gloomia paso a paso muestra lo sencillo que es empezar de cero con un catálogo cerrado.
Qué significa esto para el resto del ecosistema de fondos animados
Este tipo de incidente tiende a repetirse, con variaciones, en cualquier plataforma que combine contenido subido por usuarios con capacidad de ejecución y una audiencia grande. No es exclusivo del mundo de los fondos animados: los mismos mecanismos de abuso han aparecido antes en tiendas de extensiones de navegador, mods de videojuegos y plugins de todo tipo. Lo relevante para quien simplemente quiere un escritorio con movimiento es entender esa distinción antes de instalar algo, no evitar por completo cualquier app que tenga un catálogo grande. Si te interesa además la estética que suelen buscar quienes navegan este tipo de catálogos, como consolas, código cayendo o centros de mando, Gloomia cubre esa misma línea visual sin pasar por ningún Workshop, algo que se explica con más detalle en la guía de la trilogía hacker y tech del catálogo.
Y si finalmente decides probar un catálogo cerrado como el de Gloomia, conviene saber de antemano cómo funciona la parte de pago: tres fondos gratis para siempre sin cuenta ni tarjeta, y el resto del catálogo desbloqueado con un pago único de 9,99 dólares (precio de lanzamiento, que después sube a 14,99 dólares) o con una suscripción de 2,99 dólares al año, con licencia activable en hasta tres dispositivos y 30 días de devolución sin preguntas si no encaja. Todo ese proceso, desde que llega la clave por correo hasta cómo pedir el reembolso, está detallado en la guía completa de la licencia Gloomia Pro.
La conclusión honesta
El caso destapado por Kaspersky en junio de 2026 no fue un fallo del programa Wallpaper Engine ni una prueba de que los fondos animados en general sean peligrosos. Fue la consecuencia previsible de dejar que cualquiera suba contenido ejecutable a una tienda con millones de usuarios, un riesgo que existe en cualquier plataforma con ese mismo diseño, no solo en esta. Valve ya reaccionó cerrando esa vía concreta. Para quien prefiera evitar directamente ese tipo de superficie de ataque, elegir una app con un catálogo cerrado, construido y firmado por un único equipo, sin Workshop ni subida de terceros, es una forma sencilla de quitarse el problema de encima desde el principio, aunque eso signifique renunciar a la variedad casi infinita de un catálogo comunitario. Cuál de las dos cosas pesa más depende, como siempre, de lo que realmente busques en tu escritorio.
Preguntas frecuentes
¿Qué encontró Kaspersky en Steam Workshop en junio de 2026?
Investigadores de Kaspersky (Securelist) descubrieron una campaña activa que distribuía malware disfrazado de fondos de pantalla animados a través del Workshop de Steam, usando Wallpaper Engine como vía de entrada. Los paquetes maliciosos llevaban acumulados miles de descargas antes de ser detectados, y entre las cargas encontradas había un backdoor DarkKomet, ladrones de credenciales de Steam, los infostealers Lumma y Vidar, criptomineros e incluso ransomware.
¿Significa esto que Wallpaper Engine como programa está infectado?
No. La propia aplicación de Wallpaper Engine no estaba comprometida ni infectada; el problema era el contenido subido por terceros al Workshop, que aprovechaba que los fondos de tipo "aplicación" pueden ejecutar código. Kaspersky y varios medios técnicos fueron explícitos en esa distinción.
¿Qué hizo Valve después de conocerse la investigación?
Valve retiró del Workshop los paquetes identificados como maliciosos en el informe de Kaspersky y reforzó los mecanismos de control. Según la cobertura del caso, la distribución pública de nuevos fondos de tipo aplicación a través del Workshop quedó descontinuada, aunque los fondos de ese tipo ya instalados en un equipo siguen pudiendo ejecutarse en local.
¿Puede pasar algo parecido con Gloomia?
El vector de ataque de este caso concreto depende de que cualquier usuario pueda subir contenido ejecutable a un catálogo abierto tipo Workshop. Gloomia no tiene esa pieza: no hay Workshop, no hay subida de contenido de terceros y el catálogo entero (gratis y Pro) lo construye y firma el propio equipo de Gloomia, no una comunidad abierta.
¿Cómo saber si un fondo de pantalla animado es seguro antes de instalarlo?
Desconfía de cualquier fondo que llegue dentro de un archivo protegido con contraseña que te piden abrir e introducir tú mismo, comprueba que el instalador esté firmado digitalmente, evita fuentes que no sean la tienda oficial de la app o el sitio del propio desarrollador, y ten especial cuidado con fondos de tipo "aplicación" o "escena interactiva" subidos por usuarios anónimos, que son los que pueden llevar código ejecutable en vez de solo vídeo o imágenes.
¿Sigue siendo seguro usar Wallpaper Engine después de este caso?
Wallpaper Engine como aplicación sigue siendo legítima y ampliamente usada, y Valve ya actuó retirando el contenido identificado. El riesgo no desapareció del todo porque sigue existiendo un Workshop abierto con fondos ya instalados y con otro tipo de contenido subido por usuarios; la recomendación general es mantener el antivirus actualizado, evitar archivos protegidos con contraseña de fuentes desconocidas y revisar antes de instalar cualquier fondo con muchas descargas recientes pero poca antigüedad de la cuenta que lo subió.