Una nuova minaccia sta sfruttando le discussioni di Steam per colpire gli utenti in cerca di assistenza. Lo schema parte da richieste del tutto legittime pubblicate nei forum: un giocatore descrive un problema, come un crash oppure la scomparsa di alcuni oggetti, e un malintenzionato risponde proponendo una presunta soluzione. Le istruzioni chiedono di aprire PowerShell con privilegi di amministratore e inserire manualmente un comando, presentato come necessario per riparare il gioco.
L'operazione non risolve il problema segnalato. Il comando scarica e avvia un eseguibile legato al cryptominer XMRig, trasformando il PC della vittima in una macchina utilizzata per generare criptovaluta. L'inserimento volontario del codice aiuta il download a superare controlli che potrebbero bloccare un eseguibile avviato attraverso procedure più convenzionali. Questa tecnica di ingegneria sociale è conosciuta come ClickFix e punta a conquistare la fiducia dell'utente offrendo una risposta apparentemente pertinente.
Una volta eseguito, lo script si presenta con il nome msf utility \ PC Opt e simula uno strumento per l'ottimizzazione di Windows. Sullo schermo compaiono messaggi che sostengono di aggiornare i driver, deframmentare i dati e svuotare il cestino, ma nessuna di queste operazioni viene realmente effettuata. Per rendere più credibile la messinscena, i falsi aggiornamenti di avanzamento appaiono a intervalli casuali compresi tra 1,5 e 8 secondi.
La fase denominata “Advanced-Optimization” sfrutta invece i permessi elevati richiesti all'inizio. Senza i privilegi di amministratore, lo script mostra un errore e si chiude; quando li ottiene, disattiva la verifica dei certificati TLS e crea la directory C:\Windows\Background. La cartella viene quindi aggiunta alle esclusioni di Microsoft Defender, impedendo al sistema di sicurezza di controllarne normalmente il contenuto.
Il programma modifica anche le regole di Windows Firewall per consentire una connessione al dominio msfconfig[.]icu, dal quale viene scaricato il miner. Successivamente crea un'attività pianificata chiamata “XMRig-[nome del computer]”: questo passaggio garantisce l'avvio automatico del software malevolo ogni volta che viene caricato Windows, rendendo l'infezione persistente anche dopo un riavvio.
La presenza di quella specifica attività o della directory esclusa dai controlli rappresenta quindi un possibile indicatore della compromissione. Poiché non è possibile stabilire con certezza se lo script abbia installato anche altri componenti, la reinstallazione completa del sistema operativo viene indicata come la soluzione più prudente per una macchina colpita, insieme alla verifica delle impostazioni di sicurezza alterate.
L'attacco documentato riguarda Windows, ma lo stesso principio di prudenza si applica ai comandi ricevuti da sconosciuti su qualsiasi piattaforma. In ambiente Linux, script scaricati dalla rete vengono spesso utilizzati per configurazioni e strumenti della comunità: prima di eseguirli è necessario verificarne provenienza, contenuto e reputazione, soprattutto quando richiedono permessi elevati o modifiche alle protezioni del sistema.
