Attaque ClickFix sur Steam : comment les cybercriminels transforment vos jeux en mineurs de cryptomonnaies

Une menace silencieuse dans les forums de discussion

Imaginez la scène : vous cherchez une solution pour un jeu qui plante, un inventaire perdu ou un problème technique sur Steam. Un autre utilisateur, apparemment serviable, vous propose une commande PowerShell à exécuter en tant qu’administrateur pour résoudre le problème. Ce geste anodin pourrait pourtant transformer votre ordinateur en un outil de minage de cryptomonnaies à votre insu. Selon les informations rapportées par BleepingComputer en juillet 2026, une campagne d’attaques ClickFix exploite les forums de discussion de Steam pour infecter les joueurs avec le mineur XMRig, détournant ainsi les ressources de leur machine au profit des cybercriminels.

Cette technique d’ingénierie sociale, connue sous le nom de ClickFix, repose sur la présentation de faux messages d’erreur, de vérifications ou d’instructions de dépannage pour inciter les victimes à exécuter manuellement des commandes malveillantes. Bien que l’attaque nécessite une interaction de la part de l’utilisateur, elle s’avère redoutablement efficace car elle offre ce qui semble être une solution légitime à un problème réel. En France, où Steam compte des millions d’utilisateurs actifs, cette menace mérite une attention particulière.

Comment fonctionne l’attaque ClickFix sur Steam ?

La mise en scène : des comptes aléatoires et des réponses apparemment utiles

Les cybercriminels créent des comptes Steam aléatoires pour publier, dans les fils de discussion, des réponses qui se présentent comme des correctifs pour des problèmes courants : plantages de jeux, objets d’inventaire perdus, ou autres dysfonctionnements techniques. Ces réponses invitent les autres membres à ouvrir PowerShell en tant qu’administrateur et à exécuter une commande spécifique. En apparence, il s’agit d’une procédure de dépannage classique ; en réalité, la commande télécharge silencieusement un exécutable du mineur XMRig et le lance sur l’ordinateur.

Le script PowerShell : un faux utilitaire d’optimisation Windows

Le script PowerShell distribué dans cette campagne se fait passer pour un utilitaire d’optimisation Windows nommé “msf utility \ PC Opt”. Lorsqu’il est exécuté, il affiche des messages prétendant effectuer de nombreuses tâches de maintenance :

• Nettoyage des fichiers temporaires
• Vidage du cache DNS
• Mise à jour des pilotes
• Vérification du disque
• Désactivation des éléments de démarrage inutiles
• Analyse des logiciels malveillants
• Réparation de l’image Windows
• Exécution du Vérificateur des fichiers système

“La plupart de ces fonctions n’effectuent pas les tâches qu’elles prétendent. Au lieu de cela, elles affichent de faux messages de progression et font une pause aléatoire entre 1,5 et 8 secondes pour donner l’impression que l’utilitaire est légitime.” - BleepingComputer

La fonction malveillante : Advanced-Optimization

La véritable activité malveillante est cachée dans une fonction nommée ‘Advanced-Optimization’. Celle-ci commence par désactiver la validation des certificats TLS et vérifie qu’elle s’exécute avec des privilèges d’administrateur. Si ce n’est pas le cas, le script affiche une erreur indiquant que les droits d’administrateur sont requis et se termine.

Une fois exécutée avec des privilèges élevés, la fonction crée le répertoire ‘C:\Windows\Background’ et l’ajoute comme exclusion aux fonctions d’analyse de Microsoft Defender. Cette étape est cruciale : elle permet au mineur de fonctionner sans être détecté par l’antivirus intégré de Windows.

Les étapes de l’infection en détail

1. Nettoyage des installations précédentes

Le script tente d’arrêter une tâche planifiée existante nommée ‘XMRig-[nom de l’ordinateur]’ et termine les processus correspondants nommés ‘xmrig’ ou ‘system’ qui s’exécutent depuis le répertoire d’installation. Il tente également de supprimer les fichiers de configuration XMRig stockés dans C:\Windows\Background\config.json. Cette phase de nettoyage pourrait viser à éliminer les traces d’une installation précédente du même malware ou d’un autre mineur déjà présent sur l’appareil.

2. Création d’une règle de pare-feu

Le malware crée une règle de pare-feu Windows temporaire sortante autorisant les connexions vers ‘msfconfig[.]icu’ sur le port TCP 443. Cette règle permet au mineur de communiquer avec le serveur de commande et de contrôle pour recevoir des instructions ou transmettre des données.

3. Téléchargement du payload XMRig

Le script télécharge le payload du mineur XMRig depuis l’URL https://msfconfig[.]icu:443/tmp/system.txt dans un fichier temporaire nommé de manière aléatoire. Avant de l’installer, il vérifie que le fichier téléchargé n’est pas vide et qu’il s’agit d’un exécutable valide. Si c’est le cas, il déplace le fichier vers C:\Windows\Background\system.exe.

4. Persistance via une tâche planifiée

Pour que le mineur se lance à chaque démarrage de Windows, le script crée une nouvelle tâche planifiée nommée “XMRig-[nom de l’ordinateur]” qui exécute le fichier system.exe avec les privilèges SYSTEM. Ainsi, même après un redémarrage, l’activité de minage se poursuit en arrière-plan, consommant les ressources de la machine.

Pourquoi cette attaque est-elle particulièrement dangereuse ?

Le contournement des protections de sécurité

Contrairement à de nombreuses attaques qui exploitent des vulnérabilités logicielles, l’attaque ClickFix repose sur l’interaction volontaire de la victime. Puisque c’est l’utilisateur lui-même qui exécute la commande, cette technique peut contourner certaines protections de sécurité qui bloqueraient automatiquement l’exécution de code malveillant. Selon une étude de l’ANSSI, les attaques d’ingénierie sociale représentent plus de 70% des incidents de cybersécurité signalés en France en 2025. Pour approfondir vos connaissances et vous protéger, découvrez notre sélection des 20 meilleurs livres sur la cybersécurité en 2025-2026.

L’impact sur les performances et la durée de vie du matériel

Le minage de cryptomonnaies, en particulier avec XMRig, sollicite intensivement le processeur et la carte graphique. Les conséquences pour le joueur sont multiples :

• Ralentissements significatifs : les jeux deviennent moins fluides, voire injouables
• Surchauffe : l’utilisation intensive du matériel peut entraîner une augmentation de la température
• Usure prématurée : les composants sollicités en continu peuvent voir leur durée de vie réduite
• Consommation électrique accrue : la facture d’électricité peut augmenter sensiblement

“Dans la pratique, nous avons observé que les machines infectées par des mineurs XMRig perdaient en moyenne 30 à 40% de leurs performances CPU, ce qui rendait toute utilisation normale, et a fortiori le jeu, extrêmement difficile.” - Expert en cybersécurité

Un exemple concret : le cas d’un joueur français

Prenons l’exemple de Marc, un joueur français de 28 ans, qui cherchait une solution sur un forum Steam pour un problème de crash récurrent sur son jeu préféré. Un utilisateur lui a proposé une commande PowerShell pour “optimiser” son système. Après avoir exécuté la commande, Marc a constaté que son ordinateur devenait anormalement lent, que le ventilateur tournait en permanence et que sa facture d’électricité avait augmenté de 15 euros par mois. Ce n’est qu’après plusieurs semaines, en consultant un professionnel, qu’il a découvert la présence du mineur XMRig.

Comment détecter une infection par XMRig ?

Les signes d’alerte

Si vous avez exécuté une commande PowerShell proposée sur un forum Steam, ou si vous suspectez une infection, voici les principaux indicateurs de compromission :

Les outils de détection

Pour vérifier la présence du mineur, vous pouvez utiliser plusieurs approches :

1. Analyse antivirus : exécutez une analyse complète avec votre antivirus, idéalement avec un outil comme Malwarebytes ou Windows Defender
2. Vérification manuelle : ouvrez le Planificateur de tâches et recherchez toute tâche commençant par “XMRig-”
3. Inspection du registre : vérifiez les clés de démarrage dans le registre Windows
4. Analyse réseau : utilisez des outils comme Wireshark pour détecter des connexions suspectes vers des adresses IP inconnues

Les mesures de protection à adopter

Règles d’or pour les joueurs

1. Ne jamais exécuter de commandes PowerShell provenant d’utilisateurs inconnus sur des forums, même si elles se présentent comme des correctifs
2. Vérifier les sources : privilégiez les solutions officielles (support Steam, sites des développeurs) ou les communautés de confiance
3. Utiliser un compte utilisateur standard pour les activités quotidiennes, et non un compte administrateur
4. Maintenir son système à jour : les mises à jour de sécurité corrigent des vulnérabilités qui pourraient être exploitées
5. Installer un antivirus complet et configurer des analyses régulières

Pour aller plus loin, consultez notre sélection des 15 meilleurs livres sur la cybersécurité en 2026, recommandée par des experts.

Recommandations pour les entreprises

Les entreprises dont les employés utilisent Steam pour des activités professionnelles ou personnelles devraient :

• Sensibiliser les utilisateurs aux risques des attaques d’ingénierie sociale
• Restreindre l’exécution de PowerShell pour les utilisateurs non administrateurs via des stratégies de groupe
• Surveiller les connexions sortantes vers des adresses IP suspectes
• Mettre en place une solution EDR (Endpoint Detection and Response) capable de détecter les comportements anormaux

Que faire si vous avez été infecté ?

Procédure de nettoyage

Si vous pensez avoir exécuté la commande malveillante, suivez ces étapes dans l’ordre :

1. Déconnectez votre ordinateur d’Internet pour empêcher toute communication avec le serveur de commande
2. Exécutez une analyse antivirus complète avec un outil à jour
3. Supprimez la tâche planifiée : ouvrez le Planificateur de tâches, recherchez “XMRig-[nom de l’ordinateur]” et supprimez-la
4. Supprimez l’exclusion Microsoft Defender : allez dans les paramètres de sécurité Windows, retirer l’exclusion pour C:\Windows\Background
5. Supprimez le répertoire : effacez le dossier C:\Windows\Background et tout son contenu
6. Supprimez la règle de pare-feu : ouvrez le Pare-feu Windows avec fonctions avancées et supprimez la règle sortante vers msfconfig[.]icu

“En dernier recours, il peut être plus sûr de réinstaller le système d’exploitation, car il n’y a aucun moyen de savoir si le payload téléchargé a effectué des actions malveillantes supplémentaires pendant son exécution.” - Recommandation de BleepingComputer

Restauration des performances

Après avoir nettoyé votre système, vous devriez constater une amélioration significative des performances. Pour vous assurer que tout est revenu à la normale :

• Surveillez l’utilisation du CPU dans le Gestionnaire des tâches pendant quelques jours
• Vérifiez que la température de votre processeur est revenue à des valeurs normales
• Testez vos jeux pour confirmer que les ralentissements ont disparu

Conclusion : restez vigilants face aux fausses solutions

L’attaque ClickFix sur Steam illustre parfaitement l’évolution des menaces en cybersécurité : les cybercriminels exploitent désormais la confiance et la détresse des utilisateurs plutôt que des vulnérabilités techniques. En se faisant passer pour des membres bienveillants de la communauté, ils parviennent à contourner les protections les plus sophistiquées.

La meilleure défense reste la vigilance. Pour ceux qui souhaitent se former, notre sélection des 15 meilleurs livres sur la cybersécurité en 2025 est idéale pour débuter et maîtriser les fondamentaux. Avant d’exécuter une commande, posez-vous toujours les bonnes questions : cette solution vient-elle d’une source fiable ? Pourquoi un inconnu me proposerait-il une commande PowerShell ? Existe-t-il une alternative officielle ?

En adoptant ces réflexes, vous réduirez considérablement les risques d’être victime de ce type d’attaque. Et si le doute persiste, n’hésitez pas à consulter un professionnel de la cybersécurité ou à utiliser des forums spécialisés où les modérateurs vérifient les réponses proposées.

Rappel : ne faites jamais confiance à une commande PowerShell proposée par un inconnu sur un forum, même si elle semble résoudre votre problème. Votre sécurité numérique en dépend.