Una nuova minaccia sta circolando nei forum di Steam, dove alcuni malintenzionati si fingono utenti esperti e pubblicano false soluzioni per problemi comuni. Seguendo le istruzioni, le vittime rischiano di installare sul proprio computer XMRig, un programma che utilizza le risorse del PC per estrarre criptovalute a loro insaputa.
La truffa prende di mira soprattutto chi cerca aiuto per giochi che si bloccano, oggetti scomparsi dall’inventario, errori di avvio o problemi di prestazioni. I messaggi sembrano normali risposte della comunità, ma invitano l’utente ad aprire PowerShell come amministratore e a eseguire un comando potenzialmente dannoso.
Hai già saputo che è stato Arrestato un 21enne per aver rubato oltre 220.000 dollari in criptovalute con giochi infetti?
Come funziona la nuova truffa nei forum di Steam
Gli autori della campagna creano profili Steam apparentemente normali e cercano discussioni nelle quali un giocatore ha chiesto assistenza. Successivamente pubblicano una procedura presentata come una soluzione rapida e sicura.
Il passaggio più pericoloso arriva quando viene chiesto di avviare PowerShell con i privilegi di amministratore e incollare una lunga stringa di comandi. L’operazione non ripara il gioco, ma scarica e avvia il programma di estrazione XMRig.
Questa tecnica viene indicata come ClickFix: invece di sfruttare direttamente una vulnerabilità, convince la vittima a eseguire personalmente il codice dannoso. Il computer non viene quindi infettato semplicemente leggendo il messaggio nel forum. Il rischio nasce soltanto quando il comando viene copiato ed eseguito.
Il programma si avvia automaticamente insieme a Windows
Una volta eseguito il comando, il programma malevolo viene collocato nella cartella:
C:\Windows\Background\system.exe
La procedura aggiunge anche un’esclusione a Microsoft Defender, impedendo al sistema di sicurezza di controllare correttamente quella cartella. Viene inoltre creata un’attività pianificata con un nome che inizia con XMRig-, utilizzata per avviare automaticamente il programma ogni volta che parte Windows.
Il miner può provocare un utilizzo elevato del processore, rallentamenti, temperature superiori alla norma e un maggiore consumo di energia elettrica. In alcuni casi il computer potrebbe diventare rumoroso anche quando non sono aperti giochi o applicazioni particolarmente pesanti.
I segnali da controllare sul proprio PC
Chi ha soltanto letto uno dei messaggi sospetti non deve fare nulla, perché l’apertura della discussione non installa automaticamente il programma. I controlli sono necessari soprattutto per chi ha realmente eseguito un comando ricevuto da uno sconosciuto.
Tra i principali segnali da verificare ci sono:
- la presenza della cartella C:\Windows\Background;
- un file chiamato system.exe al suo interno;
- un’attività pianificata il cui nome comincia con XMRig-;
- un’esclusione di Microsoft Defender relativa alla cartella C:\Windows\Background;
- un utilizzo anomalo e costante del processore;
- ventole molto rumorose anche con il computer apparentemente inattivo.
La presenza di uno di questi elementi non deve essere ignorata. Il programma può continuare a lavorare in sottofondo e riavviarsi automaticamente insieme al sistema operativo.
Cosa fare dopo aver eseguito il falso comando
La prima operazione consigliata è avviare una scansione completa con Microsoft Defender o con un programma antivirus aggiornato. È importante controllare anche le attività pianificate di Windows e rimuovere eventuali elementi che iniziano con il nome XMRig-.
Bisogna inoltre cancellare l’esclusione relativa a C:\Windows\Background dalle impostazioni di Microsoft Defender e rimuovere la cartella soltanto dopo aver arrestato il processo dannoso.
Una semplice eliminazione del file potrebbe però non essere sufficiente. Non è possibile escludere che il comando abbia scaricato altri componenti oltre al miner. Nei casi più dubbi, la scelta più prudente resta il ripristino completo o la reinstallazione di Windows, soprattutto se sul computer vengono utilizzati conti bancari, portafogli digitali o credenziali importanti.
Come evitare i falsi consigli pubblicati nei forum
Non bisogna mai eseguire comandi di PowerShell, Prompt dei comandi o Terminale ricevuti da utenti sconosciuti, soprattutto quando viene richiesto di utilizzare i privilegi di amministratore.
Le soluzioni ai problemi di Steam devono essere cercate nelle pagine ufficiali del supporto, nella documentazione degli sviluppatori oppure attraverso procedure comprensibili e verificabili. Un messaggio che promette di risolvere rapidamente diversi problemi con un unico comando deve essere considerato sospetto.
È inoltre utile segnalare immediatamente a Steam i profili e i messaggi che pubblicano queste false procedure, evitando che altri giocatori possano cadere nella stessa trappola.