Steam 论坛 ClickFix 攻击向游戏玩家植入 XMRig 加密货币矿机

Steam 讨论论坛正被用于 ClickFix 攻击，这些攻击伪装成游戏和电脑问题的修复方案，但实际上向设备植入加密货币矿机。
BleepingComputer 从一位读者处了解到该活动，该读者告诉我们，威胁行为者创建随机 Steam 账户，发布看似对用户关于游戏崩溃、库存物品丢失及其他技术问题的帖子有帮助的修复方案。
威胁行为者回复帖子，告诉其他成员以管理员身份打开 PowerShell 并运行一条命令来修复问题。然而，在执行该命令时，它会静默下载 XMRig 矿机可执行文件并在计算机上启动它。
这类攻击被称为 ClickFix，这是一种社会工程策略，通过显示虚假错误、验证提示或故障排除说明，诱骗受害者手动执行恶意命令。
虽然 ClickFix 攻击需要受害者的交互，但它们很有效，因为它们向用户展示的看似是他们所遇到问题的合法解决方案。
由于受害者手动启动命令，该攻击还可以绕过某些本会自动阻止恶意代码执行的安全防护措施。
虚假的 Windows 优化程序安装恶意软件
该 Steam 活动中分发的 PowerShell 脚本伪装成一个名为"msf utility \ PC Opt"的 Windows 优化工具。
启动后，它会显示声称正在执行多项维护任务的消息，包括清理临时文件、刷新 DNS 缓存、更新驱动程序、检查磁盘、关闭不必要的启动项、扫描恶意软件、修复 Windows 映像以及运行系统文件检查器（SFC）。
然而，这些功能大多并未执行它们声称的任务。相反，它们显示虚假的进度消息，并随机暂停 1.5 到 8 秒，以使该工具看起来合法。
实际的恶意活动隐藏在一个名为"Advanced-Optimization"的函数中，该函数首先禁用 TLS 证书验证，并检查是否以管理员权限运行。如果不是，脚本会显示一条错误消息，说明需要管理员权限，然后退出。
一旦以提升的权限运行，该脚本会创建目录，并将其添加到 Microsoft Defender 扫描功能的排除项中。
它还会尝试停止一个名为"XMRig-[计算机名]"的现有计划任务，并终止从安装目录运行的名为"xmrig"或"system"的匹配进程。它还会尝试删除存储为任何 XMRig 配置文件。
目前尚不清楚此清理操作是为了移除同一恶意软件先前安装的残留，还是设备上已存在的其他矿机。
然后，该恶意软件会创建一条临时的出站 Windows 防火墙规则，允许通过 TCP 端口 443 连接到"msfconfig[.]icu"，并从 https://msfconfig[.]icu:443/tmp/system.txt 下载 XMRig 矿机 payload 到一个随机命名的临时文件中。
在安装之前，该脚本会验证下载的文件不为空且是有效的可执行文件。
为了确保每次 Windows 启动时都运行该恶意软件，它会创建一个名为"XMRig-[计算机名]"的新计划任务，以 SYSTEM 权限启动 system.exe 可执行文件。
作为一般规则，用户绝不应运行论坛中未知用户提供的 PowerShell 命令，即使这些命令被呈现为他们当前所遇问题的修复方案。
已执行该命令的用户应检查是否存在目录、Microsoft Defender 对该路径的排除项，以及以"XMRig-"开头的计划任务。
如果检测到这些入侵迹象，应立即运行防病毒程序扫描恶意软件并移除其发现的所有内容。
如果防病毒程序未检测到矿机，应手动停止并删除 XMRig-[计算机名]计划任务，移除对 Microsoft Defender 排除项，并删除该文件夹及其内容。
最终，重新安装操作系统可能更安全，因为无法知道下载的 payload 在运行期间是否执行了额外的恶意操作。