I forum di Steam sono da sempre uno dei primi posti in cui i giocatori cercano aiuto quando un titolo smette di funzionare, va in crash o presenta bug improvvisi. Proprio questa abitudine, però, è diventata il punto di forza di una nuova campagna malevola che sta prendendo di mira gli utenti Windows, sfruttando la fiducia riposta nella community.
Il meccanismo è tanto semplice quanto efficace. Tutto inizia con un giocatore che pubblica una richiesta di supporto, magari per risolvere un problema tecnico o recuperare contenuti apparentemente scomparsi. Poco dopo arriva la risposta di un presunto utente esperto, che propone una procedura “miracolosa” per sistemare tutto.
Ed è qui che scatta la trappola.
Le istruzioni invitano ad aprire PowerShell come amministratore e incollare un comando che, secondo il messaggio, dovrebbe riparare il gioco. In realtà quel codice non risolve alcun problema: avvia invece il download di un software dannoso che installa sul computer un cryptominer, trasformando il PC della vittima in una macchina utilizzata per generare criptovalute all’insaputa del proprietario.
Questa tecnica prende il nome di ClickFix e si basa sull’ingegneria sociale. A differenza dei malware tradizionali, non cerca di sfruttare vulnerabilità del sistema, ma convince direttamente l’utente a eseguire volontariamente il codice dannoso, aggirando così molte delle protezioni che normalmente bloccherebbero un programma sospetto.
Per rendere l’inganno ancora più credibile, lo script si presenta come un software di ottimizzazione per Windows. Sullo schermo vengono mostrati messaggi che simulano operazioni come l’aggiornamento dei driver, la pulizia del sistema o la deframmentazione del disco. Tutto appare perfettamente normale, ma in realtà nessuna di queste attività viene realmente eseguita.
Dietro le quinte, invece, lo script sfrutta i privilegi di amministratore concessi dall’utente per modificare diverse impostazioni di sicurezza del sistema. Tra le operazioni più pericolose c’è la creazione di una cartella esclusa dai controlli di Microsoft Defender, così da impedire all’antivirus di analizzare i file che verranno scaricati successivamente.
Il malware modifica inoltre alcune regole del firewall di Windows per consentire la comunicazione con un server remoto dal quale viene scaricato il miner vero e proprio. Per assicurarsi di restare attivo anche dopo il riavvio del computer, crea infine un’attività pianificata che avvia automaticamente il programma ogni volta che Windows viene acceso.
Proprio questi elementi possono rappresentare un primo campanello d’allarme. La presenza di attività pianificate sconosciute oppure di cartelle escluse manualmente dai controlli dell’antivirus potrebbe infatti indicare che il sistema è stato compromesso.
Purtroppo, eliminare il miner potrebbe non essere sufficiente. Non è infatti possibile sapere con certezza quali altri componenti siano stati installati durante l’infezione. Per questo motivo, gli esperti consigliano di valutare una reinstallazione completa del sistema operativo, oltre a verificare e ripristinare tutte le impostazioni di sicurezza eventualmente modificate.
La vicenda rappresenta anche un importante promemoria per tutti gli utenti. Che si tratti di Steam, Reddit, Discord o qualsiasi altro forum, nessuno dovrebbe mai eseguire comandi ricevuti da sconosciuti senza averne verificato attentamente la provenienza. Ancora di più quando viene richiesto l’utilizzo di privilegi di amministratore.
Un consiglio semplice, ma che può evitare conseguenze molto serie. Se una procedura richiede di incollare codice in PowerShell, nel Prompt dei comandi o nel Terminale senza spiegare chiaramente cosa faccia, è sempre meglio fermarsi qualche minuto in più piuttosto che ritrovarsi con un computer compromesso.