Trabajo en progreso (actualmente solo registra la inicialización del hilo) biblioteca que, una vez inyectada en steam, tiene como objetivo bloquear CSteamEngine::CFillMachineInfoThread, que es un hilo oculto que recopila información cifrada sobre tus discos duros, adaptadores de red y periféricos ópticos con el mezquino propósito de bloquear todas tus cuentas alternativas y hacerte perder miles de dinero (y realmente no quiero pagar ni un centavo más del salario de burtonJ)

Ingeniería inversa

Puedes encontrar la instrucción buscando esta cadena en IDA y xref:

No puedes simplemente terminar o retornar el hilo, pero se abren posibilidades interesantes. Esa función es parte de la única función (además del constructor, iniciador y terminador/desconstructor) de una tabla virtual que hereda de CScheduledFunction.

'MachineGuid' se recopila del registro y se le aplica SHA1, ¿posiblemente con una constante "BB3"? No sé nada sobre cifrado

Luego se recopila otra información del registro del dispositivo

Al mismo tiempo, se ejecutan consultas CIMV2 WMIC para recuperar adaptadores de red

Esta vez los datos anteriores se cifran con la constante "FF2"? Un enfoque interesante sin bloquear todo el hilo podría ser cambiar estas constantes para alterar los resultados del digest. Si Steam recurriera a no cifrar estas cadenas, podrían estar en contra del GDPR, ya que están recopilando información que puede clasificarse como "datos personales"

Siguen más consultas, la cantidad de datos que recopilan es espeluznante.

"SELECT * FROM Win32_DiskPartition", verifican BootPartitions, DeviceID, DiskIndex, de nuevo "SELECT * FROM Win32_DiskDrive", más cosas, y luego UNA VEZ MÁS "SELECT * FROM Win32_PhysicalMedia", verifican números de serie y fabricante.

Cifrado de nuevo, constante "3B3" (?)

Finalmente, el segundo argumento del destinatario se cifra (si no es NULL) con la constante "333" (?)