Steam-hjælpetråde bruges til at plante kryptominere

Steam-diskussionsfora er der, hvor folk går hen, når et spil ikke vil starte, og det er netop derfor, angribere er rykket ind. Skurkeaktører besvarer hjælpetråde med falske rettelser, der ender med at installere en kryptovaluta-miner på maskinen, en kampagne, der først blev rapporteret af Bleeping Computer.

Opsætningen er almindelig nok til at virke. Nogen skriver om et nedbrud, en fejlbehæftet installation eller manglende elementer i spillet. Der kommer et svar, der beder dem om at åbne PowerShell som administrator og indsætte en kommando, indrammet som rettelsen. Fordi offeret selv skriver den, slipper downloadet forbi de kontroller, der normalt ville stoppe en ondsindet eksekverbar fil fra at virke. Teknikken har et navn, ClickFix, og den fungerer ved at ankomme som hjælp snarere end som en vedhæftet fil.

Jeg har brugt dette år på at lære at bygge ting ved at indsætte kommandoer, jeg kun halvt forstår, i en terminal, hvilket er præcis den vane, dette angreb er designet til at høste. Tråden er ægte. Personen, der beder om hjælp, er ægte. Kun svaret er forgiftet.

Billedkredit: BleepingComputer

Det, der kører, er forklædt som vedligeholdelse. Scriptet præsenterer sig selv som et Windows-optimeringsværktøj og producerer en strøm af falske statusmeddelelser om opdatering af drivere, defragmentering af data og tømning af papirkurven, hvilket det ikke gør, med meddelelserne tidsindstillet til at vises med tilfældige intervaller mellem cirka 1,5 og 8 sekunder, så processen ser levende ud. Kør det uden administratorrettigheder, og det viser en fejl, der siger, at det har brug for dem, og lukker derefter. Den afvisning er hele pointen med instruktionen om at hæve.

Med administratorrettigheder går scriptet i gang. Det deaktiverer validering af TLS-certifikater, opretter en mappe i Windows-mappen, som det føjer til Microsoft Defenders udelukkelsesliste, fortæller Windows Firewall, at den skal tillade trafik til et eksternt domæne, der er rapporteret som msfconfigicu, og henter en XMRig-miner ned. Derefter registrerer det en planlagt opgave opkaldt efter maskinen, så mineren starter med Windows hver gang. Fra da af arbejder computeren stille og roligt for en anden, og softwaren har vist sig at være vanskelig at fjerne.

Gendannelsesrådet er direkte. Hvis du opdager, at den planlagte opgave eller en mappe i Windows indeholder en Defender-undtagelse, du ikke har oprettet, er geninstallation af operativsystemet den sikreste løsning, fordi der ikke er nogen måde at vide, hvad scriptet ellers hentede, mens det havde administratoradgang. Enhver, der kørte kommandoen, bør behandle gemte adgangskoder og sessionstokens som kompromitterede i stedet for at antage, at mineren var den eneste nyttelast.

Dette specifikke script er kun til Windows, men den adfærd, det udnytter, er mere normaliseret andre steder. At køre scripts kopieret fra internettet er en rutinemæssig del af at få spil til at virke på Linux, hvilket gør alle, der er nye inden for den side af pc-spil, til et blødere mål for den samme sociale tilgang. Forsvaret er det samme begge steder, og det er uglamourøst: udfør ikke kommandoer, der gives til dig af en fremmed, uanset hvor selvsikker den fremmede lyder.

Steam har hele året haft problemer med den butiksbaserede version af dette problem. Tidligere på sommeren blev et malware-spil på Steam, et request-only early access-spil kaldet Chemia, fundet med Fickle Stealer og HijackLoader sideløbende med sig selv. Forskere hos Prodaft forbandt det med en gruppe sporet som Larva-208 og pegede på en fil tilføjet til buildet den 22. juli, som tiltrak yderligere data.

"Når brugere downloader og starter spillet, kører malwaren sammen med den legitime applikation"

— Prodaft

Chemia var den tredje kendte hændelse inden for seks måneder. PirateFi blev udgivet som et free-to-play-spil og blev promoveret på Telegram med botbeskeder og falske jobtilbud fra moderatorer. Sniper: Phantom's Resolution indeholdt aldrig malware i sin Steam-build overhovedet, fordi en svindler registrerede det domæne, som de rigtige udviklere havde listet, men endnu ikke købt, og leverede en falsk demo fra det. Separat identificerede FBI fem inficerede Steam-spil, der blev brugt til at tage mindst $220.000 fra spillere. Hvert forsøg brugte en anden dør: intern upload, eksternt link, forgiftet opdatering og nu foraene, som ikke har nogen gennemgang af indsendelser at bestå i første omgang. Jeg ved, at to af disse tre sager i butikken blev afsløret af eksterne forskere og brugere snarere end af Valve, hvilket siger noget om, hvor kontrollen rent faktisk finder sted.

Intet af dette er unikt for Valve. PlayStation blev ramt af en bølge af kontohacks i maj 2026, og kryptobaserede overtagelser er gentagne gange landet på YouTube-kanaler og på virksomhedskonti, herunder Stellar Blades i juli 2025. Omfanget forklarer opmærksomheden. Steam opnåede sit bedste halvår nogensinde i de første seks måneder af 2026, et anslået beløb på 11,1 milliarder dollars ifølge Alinea Analytics, hjulpet af højere priser på nye udgivelser og udgivere, der bragte spil tilbage efter at have trukket deres egne launchere tilbage. Halvdelen af alle Steam-konti tilhørte kinesisktalende brugere i begyndelsen af 2025, en bundgrænse, der holder platformen oppe mellem udgivelser.

"Zoom ud over det sidste årti, og tingene bliver virkelig vanvittige"

— Rhys Elliott

En butik af den størrelse er et stående mål, og de dele af den, der tiltrækker angribere, er de dele, der ikke rigtig er en butik. Over 90% af Steam-brugere læser anmeldelser, før de køber, hvoraf 40% gør det hver gang, og en blandet vurdering afskrækker mere end halvdelen af dem. Fællesskabslaget er købstragten, hvilket er det, der gør den værdifuld for Valve og værdifuld for alle, der ønsker at nå et par tusinde mennesker, der har en dårlig dag med deres pc. Jeg tror, at butikshændelserne peger på huller i anmeldelsen, som Valve kan lukke med bedre tjek, mens forumangrebet peger på et lag, hvor der slet ikke findes nogen tjek, fordi et svar i en tråd ikke er noget, nogen indsender til godkendelse.

Det lag bliver nu kopieret. Epic Games Store genopbygger sin launcher med skriftlige spilleranmeldelser, spillerprofiler, produktdetaljesider og patchnoter på butikssider, sammen med påstande om en koldstart fem gange hurtigere end den nuværende app. Det er de funktioner, der gør Steam sticky, og de ankommer forbundet med det samme problem, da en butiksfacade med svar fra fællesskabet arver et sted, hvor fremmede kan tilbyde rettelser.

Valve har brugt året på at forbedre de dele af Steam, som folk har spurgt om, herunder en gavedesign-overhaling, der lader spillere sende spil til venner uden konti og på tværs af regioner med priser, der er tilpasset modtageren. Hver funktion, der udvider platformen, udvider også det, der findes omkring den. For nu er de praktiske trin små. Betragt ethvert forumsvar, der beder om administratorrettigheder, som fjendtligt som standard, tjek Opgavestyring og Windows-mappen, hvis du allerede har kørt noget, du fortryder, og husk, at hele det falske værktøjs opgave er at se travlt ud, mens det virker. De mennesker, der kører dette, ødelægger ikke Steam. De bruger det præcis som designet og besvarer et spørgsmål, som ingen andre gad besvare.

Læs også, at ukrainsk politi i Lviv Oblast tilbageholdt en gruppe anklaget for at have stjålet mere end 600.000 Roblox-konti mellem oktober 2025 og januar 2026 og videresolgt dem på russiske fora for tæt på 10 millioner hryvnia, cirka 240.000 til 250.000 dollars. Efterforskere siger, at de tre mistænkte, i alderen 19, 21 og 22, brugte stjålne cookiefiler og malware til at stjæle legitimationsoplysninger distribueret som snydekoder og gratis Robux-generatorer, hvilket er det samme trick som Steam-kampagnen rettet mod et yngre publikum.