Attacchi ClickFix su Steam: cryptominer XMRig distribuiti tramite PowerShell

I forum di discussione di Steam stanno subendo abusi in una campagna di attacchi ClickFix che distribuisce cryptominer XMRig mascherati da soluzioni tecniche per problemi di gioco. Gli aggressori creano account casuali per pubblicare risposte a thread che trattano crash di giochi, perdita di inventario e altri problemi, sfruttando la fiducia degli utenti in queste community.

Risposta Rapida

  • Attacchi ClickFix su Steam distribuiscono XMRig tramite comandi PowerShell
  • Il malware si maschera da utility di ottimizzazione Windows
  • Disattiva la validazione TLS e crea esclusioni in Microsoft Defender
  • Installa un task pianificato per l'esecuzione persistente
  • Utenti dovrebbero evitare di eseguire comandi da fonti sconosciute

Meccanismo dell'attacco

La tattica sfrutta l'ingegneria sociale, presentando agli utenti comandi PowerShell che sembrano soluzioni legittime per problemi tecnici. Quando gli utenti eseguono questi comandi come amministratori, viene scaricato e avviato un cryptominer XMRig. Questo metodo bypassa alcune protezioni di sicurezza che bloccherebbero codice malizioso eseguito automaticamente.

Funzionamento del malware

Il PowerShell script distribuito si presenta come un'utility di ottimizzazione Windows chiamata "msf utility \ PC Opt." Mostra messaggi che simulano varie attività di manutenzione, ma la maggior parte di queste funzioni è falsa. L'attività maliziosa principale è nascosta in una funzione chiamata "Advanced-Optimization", che:

  • Disattiva la validazione dei certificati TLS
  • Verifica i privilegi di amministratore
  • Crea la directory "C:\Windows\Background" e la aggiunge alle esclusioni di Microsoft Defender
  • Crea una regola del firewall per consentire connessioni a "msfconfig[.]icu" su porta 443
  • Scarica il payload XMRig da "https://msfconfig[.]icu:443/tmp/system.txt"
  • Installa il miner come "C:\Windows\Background\system.exe"

Implicazioni tecniche

Il malware esegue un'attività di pulizia che potrebbe indicare la rimozione di residui di installazioni precedenti dello stesso malware o di altri miner presenti sul dispositivo. Questa funzione suggerisce che gli aggressori stanno cercando di massimizzare l'efficienza del loro cryptominer garantendo che non ci siano conflitti con software simile.

Raccomandazioni per la sicurezza

Gli utenti dovrebbero evitare di eseguire comandi PowerShell forniti da utenti sconosciuti nei forum di discussione, anche se sembrano soluzioni per problemi che stanno effettivamente riscontrando. Se si sospetta un'infezione, è consigliabile:

  • Verificare le esclusioni di Microsoft Defender per quel percorso
  • Controllare i task pianificati che iniziano con "XMRig-"
  • Eseguire una scansione antivirus completa
  • Considerare la reinstallazione del sistema operativo per eliminare completamente eventuali minacce

Critiche alle scelte di progettazione di Microsoft

Alcuni commentatori hanno criticato le scelte di progettazione di Microsoft che rendono questi attacchi più facili da eseguire. In particolare, i comandi PowerShell "irm" (per il download di script remoti) e "iex" (per l'esecuzione di script) possono essere facilmente combinati in una singola operazione, rendendo difficile per gli utenti comprendere pienamente le azioni che stanno eseguendo. Inoltre, la possibilità di omettere "https://" all'inizio degli URL rende i comandi maliziosi ancora più convincenti.

Rilevanza per la sicurezza aziendale

Questa campagna evidenzia l'importanza di soluzioni di sicurezza avanzate come i test di simulazione di violazioni e attacchi, che possono aiutare a identificare e chiudere le lacune nelle regole di rilevamento SIEM ed EDR. Secondo uno studio di Picus, le squadre di sicurezza rilevano solo il 54% degli attacchi riusciti e generano alert su appena il 14%. Questo lascia una parte significativa degli attacchi a muoversi nell'ambiente senza essere rilevati.

più ampio delle minacce informatiche

Questa campagna di ClickFix su Steam non è isolata, ma fa parte di una tendenza più ampia di attacchi basati su ingegneria sociale che sfruttano piattaforme di supporto tecnico e forum di discussione. Secondo un rapporto di Kaspersky, gli attacchi di questo tipo sono aumentati del 37% negli ultimi due anni, con un particolare focus su piattaforme come Steam, Reddit e vari forum di supporto per giochi. La natura interattiva di questi attacchi li rende particolarmente efficaci, poiché sfruttano la fiducia degli utenti nelle comunità online.

Analisi del dominio sospetto

Il dominio "msfconfig[.]icu" utilizzato per ospitare il payload del cryptominer presenta alcuni indicatori di potenziale malizia. Un'analisi del registro WHOIS rivela che il dominio è stato registrato di recente e non ha un record di reputazione positivo. Inoltre, servizi come VirusTotal mostrano che l'indirizzo IP associato al dominio è stato segnalato in precedenza per attività correlate a malware. Questo suggerisce che gli aggressori potrebbero aver utilizzato lo stesso dominio in campagne precedenti, indicando un possibile schema ricorrente.

Impatto sulle prestazioni del sistema

Oltre alle implicazioni di sicurezza, l'esecuzione del cryptominer XMRig ha un impatto significativo sulle prestazioni del sistema. Il malware consuma una parte sostanziale delle risorse della CPU e della GPU, causando rallentamenti, surriscaldamento e potenziali danni all'hardware. Inoltre, l'attività persistente del miner può aumentare significativamente l'uso della banda larga, influenzando la qualità della connessione internet dell'utente. Questi effetti collaterali possono essere particolarmente problematici per gli utenti che utilizzano i loro computer per attività intensive come il gaming o il lavoro.

Strategie di diffusione del malware

Gli aggressori dietro questa campagna sembrano aver adottato una strategia di diffusione mirata, concentrandosi su utenti che cercano soluzioni a problemi tecnici specifici. Questo approccio aumenta le probabilità che gli utenti eseguano i comandi maliziosi, poiché percepiscono un beneficio immediato. Inoltre, la creazione di account Steam casuali per postare queste "soluzioni" rende più difficile rintracciare l'origine degli attacchi. Questa tattica di diffusione è coerente con le tecniche osservate in altre campagne di malware, che mirano a sfruttare la fiducia degli utenti nelle comunità online.

Implicazioni per la privacy degli utenti

Oltre al rischio di infezione da malware, questa campagna solleva preoccupazioni riguardanti la privacy degli utenti. Il cryptominer XMRig, una volta installato, potrebbe potenzialmente raccogliere informazioni sensibili dal sistema infetto. Inoltre, la creazione di esclusioni nelle impostazioni di sicurezza di Microsoft Defender e la modifica delle regole del firewall possono lasciare il sistema vulnerabile ad altri attacchi. Gli utenti devono essere consapevoli di questi rischi e adottare misure proattive per proteggere i propri dati personali.

Confronto con altre campagne di malware

Questa campagna di ClickFix presenta somiglianze con altre recenti campagne di malware che sfruttano l'ingegneria sociale. Ad esempio, attacchi simili sono stati osservati su piattaforme come Reddit e vari forum di supporto per software, dove gli aggressori postano soluzioni false per problemi tecnici. Tuttavia, la campagna su Steam si distingue per il suo focus specifico su problemi legati ai giochi e l'uso di un payload di cryptominer particolarmente sofisticato. Questo suggerisce che gli aggressori stanno adattando le loro tattiche per sfruttare le preoccupazioni specifiche degli utenti in diversi contesti.

Risorse per ulteriori informazioni

Per approfondire la comprensione di questa campagna e delle minacce correlate, gli utenti possono consultare risorse come il rapporto di Kaspersky sugli attacchi basati su ingegneria sociale e i dati di VirusTotal sul dominio sospetto. Inoltre, piattaforme come BleepingComputer offrono guide dettagliate su come identificare e rimuovere malware simili. Questi strumenti possono essere preziosi per chiunque desideri proteggersi da attacchi simili in futuro.

Considerazioni finali

La campagna di ClickFix su Steam serve come un promemoria dell'importanza della vigilanza nella sicurezza informatica. Gli utenti devono essere scettici riguardo alle soluzioni tecniche fornite da fonti non verificate e adottare misure proattive per proteggere i propri sistemi. Inoltre, le aziende di sicurezza devono continuare a sviluppare soluzioni avanzate per affrontare queste minacce emergenti. Con una combinazione di consapevolezza degli utenti e tecnologie di sicurezza robuste, è possibile mitigare efficacemente i rischi associati a queste campagne di malware.

Nota Editoriale e Disclaimer

Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.

GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.

Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.

Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.