Итого: надо, чтобы на компьютере уже стоят как-то "троян", который будет парсить картинки и делать дела. И как бы этой теме уже много лет. А зачесались только сейчас.
Расчет на то, что антивирус может проигнорировать https соединение к такому доверенному сайту как Steam.
При загрузке и даже просмотре такой картинки чем угодно не произойдёт вообще ничего. Программа просмотра увидит некорректное или неизвестное поле и просто пропустит его.
Если кто-то умудрится словить это дело, то для полного счастья он должен быть пользователем Windows с административными привилегиями. Остальные в пролёте.