Uwaga na oszustów z forów Steama. Oferują porady-pułapki, które mogą nas sporo kosztować

Fora dyskusyjne Steama od lat służą graczom do jednego: narzekania na developerów pytania innych użytkowników o poradę, kiedy gra się wysypuje albo przedmiot znika z ekwipunku. Właśnie to zaufanie postanowili wykorzystać oszuści. Jak informuje BleepingComputer, na forach Valve trwa mała kampania, w której przestępcy zakładają przypadkowe konta i odpowiadają w wątkach z prośbami o pomoc – a ich „naprawa” kończy się instalacją programu, który po cichu kopie kryptowaluty na komputerze ofiary. Cóż, Minecraft naszych czasów.

Schemat jest prosty jak konstrukcja cepa. Ktoś przychodzi, skarży się na niestabilnie działającą grę, a „doświadczony” użyszkodnik radzi: „uruchom PowerShell jako administrator i wklej tę komendę”. Dla niewtajemniczonych: PowerShell to wbudowane w Windowsa narzędzie, które pozwala wydawać systemowi polecenia tekstowe (to potężne narzędzie, bo z uprawnieniami administratora może zrobić na komputerze praktycznie wszystko). I właśnie dlatego oszuści tak bardzo nalegają na ten tryb. Ot, metoda: zamiast próbować włamywać się na rympał, przestępca przekonuje ofiarę, by sama uruchomiła złośliwy kod. Sprytne o tyle, że wiele zabezpieczeń antywirusowych skupia się na blokowaniu podejrzanych plików z sieci. W tym wypadku, na papierze, to my sami wydajemy szkodliwe polecenie.

Całość oczywiście musi wyglądać wiarygodnie: skrypt podszywa się pod narzędzie do „optymalizacji Windowsa” i wyświetla komunikaty o czyszczeniu plików tymczasowych, aktualizacji sterowników czy skanowaniu dysku. Według analizy BleepingComputer większość tych funkcji nie robi absolutnie nic poza odczekaniem od 1,5 do 8 sekund między komunikatami – pauzy dodano celowo, bo prawdziwa optymalizacja przecież trwa. W tle dzieje się za to sporo: skrypt tworzy ukryty folder C:\Windows\Background, dodaje go do wyjątków Microsoft Defendera (dla niewtajemniczonych: mówi antywirusowi, żeby tam nie zaglądał), pobiera z zewnętrznego serwera program XMRig i ustawia zaplanowane zadanie, które uruchamia go przy każdym starcie systemu z najwyższymi uprawnieniami.

Sam XMRig to koparka kryptowalut, czyli program, który wykorzystuje moc obliczeniową procesora do „wydobywania” cyfrowej waluty. Legalny, dopóki ktoś uruchamia go na własnym sprzęcie. Ale tutaj zyski trafiają do oszustów, a ofiara zostaje z głośniej pracującymi wentylatorami, spadkami wydajności w grach i wyższym rachunkiem za prąd. Można się śmiać, że kto wkleja nieznane komendy, ale przekrój graczy jest duży. Nie każdy ma świadomość skali oszustwa, szczególnie w miejscu teoretycznie bezpiecznym.

BleepingComputer radzi, by nigdy nie uruchamiać komend PowerShella podsuwanych przez nieznajomych na forach – nawet jeśli dotyczą dokładnie naszego problemu. Oficjalna pomoc Steama niczego takiego od nas nie wymaga. Jeśli podejrzewamy, że już wkleiliśmy taką komendę, warto sprawdzić, czy na dysku istnieje folder C:\Windows\Background oraz zaplanowane zadanie o nazwie zaczynającej się od „XMRig…”, usunąć wyjątek Defendera i przeskanować komputer antywirusem. Serwis zaznacza przy tym, że najbezpieczniejszym wyjściem może być format/reinstalacja systemu, trudno bowiem stwierdzić, czy pobrany program nie zdążył zainstalować czegoś jeszcze. Jeżeli się na tym nie znam, dopytajmy w  lokalnym serwisie sprzętu.

To kolejny rozdział w niewesołej historii złośliwego oprogramowania na platformie Valve. W lipcu FBI zatrzymało 21-latka z Florydy podejrzewanego o współudział w rozprowadzaniu przez Steam gier-trojanów, które zainfekowały około 8 tys. komputerów i pomogły ukraść co najmniej 220 tys. dolarów w kryptowalutach. Pozostaje mieć nadzieję, że Valve zacznie polować na gagatków.