外媒：Steam論壇被用于偽裝修復攻擊，最終植入挖礦木馬

如果你在 Steam 論壇上發帖詢問“游戲總崩潰怎么修”“庫存物品怎么不見了”，可能會收到一條看上去十分靠譜的回復：“以管理員身份打開 PowerShell，運行這條命令。”而這看似熱心的回復，其實是一條精心布設的陷阱。安全媒體 BleepingComputer 最新披露，Steam 社區論壇正被濫用為 ClickFix 攻擊的投放場，攻擊者偽裝成故障修復方案，誘導玩家手動執行惡意命令，最終在電腦里悄悄植入 XMRig 挖礦程序。

BleepingComputer 是從一位讀者那里獲知這一攻擊活動的。據該讀者描述，威脅行為者正在批量創建隨機的 Steam 賬戶，專門在各討論帖下回復“修復方法”。這些帖子涉及游戲崩潰、庫存物品丟失以及其他技術問題，攻擊者瞄準的正是那些急于解決游戲故障的玩家。他們告訴求助者：只需用管理員權限打開 PowerShell，運行一串命令就能搞定。然而，一旦用戶照做，命令就會在后臺下載 XMRig 挖礦程序的可執行文件并啟動運行，讓受害者的電腦淪為挖礦“肉雞”。

這種攻擊方式被統稱為 ClickFix，是一種利用社會工程學的手法。攻擊者會彈出虛假的錯誤提示、驗證窗口或故障排除指南，誘騙受害者主動執行惡意命令。BleepingComputer 指出，雖然 ClickFix 攻擊需要受害者手動參與，但由于它呈現的是一套看似正兒八經的解決方案，而用戶正好又在遭遇真實問題，由此產生的欺騙性極強。更麻煩的是，因為命令是受害者自己主動啟動的，攻擊可以躲過某些原本會自動攔截惡意代碼執行的安全防護機制。

在這場 Steam 攻擊活動中，分發的 PowerShell 腳本給自己披上了一件“Windows 優化工具”的外衣，名稱為 “msf utility \ PC Opt”。當腳本運行時，屏幕上會接連彈出一系列維護任務提示，聲稱正在執行諸多優化操作：清理臨時文件、刷新 DNS 緩存、更新驅動程序、檢查磁盤、關閉不必要的啟動項、掃描惡意軟件、修復 Windows 映像以及運行系統文件檢查器（SFC）。這些任務條目看起來非常專業，足夠讓不少玩家相信這確實是一款靠譜的電腦維護腳本。

然而，這些功能大多數只是“表演”。它們并不會真正執行所宣稱的任務，而是顯示偽造的進度消息，并在每一步之間隨機停頓 1.5 到 8 秒，以此來營造“正在工作中”的假象，讓整個腳本顯得更加可信。真正的惡意行為隱藏在一個名為 “Advanced-Optimization” 的函數里。這個函數首先會禁用 TLS 證書驗證，隨后檢查腳本是否以管理員權限運行。如果沒有，腳本會顯示一條要求管理員權限的錯誤信息，然后退出。

一旦以高權限運行，惡意腳本就開始實施真正的挖礦部署。它先在系統目錄下創建 “C:\Windows\Background” 文件夾，接著在 Microsoft Defender 的掃描功能中將該目錄添加為排除項，從而讓后續下載的挖礦程序逃過殺軟檢測。與此同時，腳本還會嘗試停止一個名為 “XMRig-[計算機名]” 的現有計劃任務，并終止從安裝目錄運行的名為 “xmrig” 或 “system” 的匹配進程。此外，它還會嘗試刪除存儲在 “C:\Windows\Background\config.json” 的 XMRig 配置文件。BleepingComputer 指出，目前尚不清楚這些清理操作是為了移除同一惡意軟件的舊版本殘余，還是為了清除設備上早已存在的其他礦工程序。

完成環境布設后，惡意腳本會創建一條臨時的出站 Windows 防火墻規則，允許連接至 “msfconfig[.]icu” 的 TCP 443 端口，并通過 HTTP 協議從該地址下載 XMRig 挖礦程序的可執行文件。至此，一臺原本用于打游戲的電腦，就悄然變成了攻擊者的加密貨幣挖礦工具。

Steam 擁有龐大的用戶基數和活躍的社區討論區，攻擊者正是利用了玩家之間互助的氛圍以及論壇上普遍存在的“命令行修復”文化。BleepingComputer 提醒，這次事件再次印證了 ClickFix 攻擊的有效性和隱蔽性。對于普通玩家而言，任何要求以管理員身份運行不明 PowerShell 命令的“熱心回復”都應當打上問號，哪怕它解決的正是在游戲中碰到的真實問題。