Steam-ClickFix-Angriffe zielen auf Gamer mit gefälschten Problemlösungshinweisen ab, die XMRig-Kryptominer auf Windows-Geräten installieren. Die schädlichen Antworten erscheinen in Steam-Diskussionsforen und behaupten, Spielabstürze, verlorene Inventargegenstände und andere häufige technische Probleme zu beheben.
Statt das Problem zu lösen, bringen die Anweisungen Opfer dazu, PowerShell als Administrator zu öffnen und einen schädlichen Befehl auszuführen. Dieser Befehl lädt Malware zum Schürfen von Kryptowährungen herunter und startet sie im Hintergrund.
Gefälschte Steam-Supportantworten zielen auf frustrierte Gamer ab
Die Angreifer erstellen zufällige Steam-Konten und antworten auf Forenbeiträge von Nutzern, die Hilfe suchen. Ihre Nachrichten wirken wie gewöhnliche technische Ratschläge und bieten eine vermeintlich schnelle Lösung an.
Die Opfer werden aufgefordert, PowerShell mit Administratorrechten zu öffnen und einen Befehl einzufügen. Da die Nutzer den Befehl selbst ausführen, kann der Angriff einige automatische Sicherheitsmaßnahmen umgehen.
Diese Taktik wird ClickFix genannt. Sie basiert auf Social Engineering statt auf einem herkömmlichen Exploit. Angreifer zeigen eine gefälschte Fehlermeldung, einen Verifizierungsschritt oder eine Reparaturanweisung und überzeugen Menschen davon, den schädlichen Befehl manuell auszuführen.
Gefälschtes Windows-Optimierungstool verbirgt die Schadsoftware
Das in den Steam-ClickFix-Angriffen verwendete PowerShell-Skript gibt sich als Windows-Optimierungstool namens „msf utility \ PC Opt“ aus.
Nach dem Start zeigt das Skript Meldungen über das Bereinigen temporärer Dateien, das Leeren des DNS-Caches, das Aktualisieren von Treibern und die Überprüfung des Datenträgers an. Es behauptet außerdem, unnötige Autostartprogramme zu deaktivieren, nach Schadsoftware zu suchen und Windows-Systemdateien zu reparieren.
Die meisten dieser Funktionen sind gefälscht. Das Skript zeigt lediglich falsche Fortschrittsmeldungen an und pausiert in zufälligen Abständen, damit der Prozess echt wirkt.
Die eigentliche schädliche Aktivität ist in einer Funktion namens „Advanced-Optimization“ verborgen.
Das Skript schwächt die Windows-Sicherheitsmaßnahmen
Die versteckte Funktion prüft zunächst, ob sie über Administratorrechte verfügt. Ist das nicht der Fall, zeigt das Skript eine Fehlermeldung an und beendet sich.
Wenn es mit erhöhten Rechten gestartet wird, erstellt es ein Verzeichnis unter C:\Windows\Background. Anschließend fügt es diesen Ordner zu den Ausnahmen von Microsoft Defender hinzu. Dadurch kann Defender daran gehindert werden, dort gespeicherte Dateien zu scannen.
Das Skript sucht außerdem nach vorhandenen geplanten Aufgaben und Prozessen, die mit XMRig zusammenhängen. Es versucht, sie zu beenden und alte Konfigurationsdateien zu entfernen, bevor die neue Nutzlast installiert wird.
Die Forscher konnten nicht bestätigen, ob diese Bereinigung Spuren einer früheren Infektion entfernt oder einen anderen Kryptominer beseitigt, der bereits auf dem Gerät läuft.
XMRig-Miner erhält Persistenz auf SYSTEM-Ebene
Die Schadsoftware lädt eine ausführbare XMRig-Datei herunter, prüft ihre Gültigkeit und speichert sie anschließend als system.exe im Ordner C:\Windows\Background.
Danach erstellt das Skript eine geplante Aufgabe mit dem Namen XMRig-[Computername]. Diese Aufgabe startet den Miner bei jedem Windows-Start und führt ihn mit SYSTEM-Rechten aus.
XMRig ist ein legitimes Open-Source-Tool zum Schürfen von Kryptowährungen. Cyberkriminelle missbrauchen es jedoch häufig, um Kryptowährungen mithilfe der Rechenleistung ihrer Opfer zu schürfen. Infizierte Geräte können eine hohe CPU-Auslastung, Überhitzung, langsamere Leistung und einen höheren Stromverbrauch aufweisen.
Was Sie tun sollten, wenn Sie den Befehl ausgeführt haben
Führen Sie niemals PowerShell-Befehle aus, die von unbekannten Nutzern in Spieleforen, Antworten in sozialen Medien oder Kommentarbereichen veröffentlicht wurden. Eine echte Supportlösung sollte vom Spieleentwickler, dem Steam-Support oder einer anderen verifizierten Quelle stammen.
Wer den Befehl ausgeführt hat, sollte auf folgende Anzeichen einer Kompromittierung prüfen:
- Das Verzeichnis
C:\Windows\Background - Eine Microsoft-Defender-Ausnahme für diesen Ordner
- Eine geplante Aufgabe, deren Name mit
XMRig-beginnt
Führen Sie umgehend einen vollständigen Virenscan durch. Falls der Miner nicht erkannt wird, entfernen Sie die geplante XMRig-Aufgabe manuell, löschen Sie die Defender-Ausnahme und entfernen Sie den Ordner C:\Windows\Background.
Da die heruntergeladene Datei möglicherweise weitere Aktionen ausgeführt hat, kann eine Neuinstallation von Windows nach einer bestätigten Infektion die sicherste Option sein.
0 Kommentare zu „Steam-ClickFix-Angriffe installieren XMRig-Kryptominer“