Xmrig

Recentemente, fóruns de discussão da Steam têm sido utilizados em ataques conhecidos como ClickFix, que se disfarçam de soluções para problemas de jogos e computadores, mas na verdade infectam dispositivos com mineradores de criptomoedas. Os atacantes criam contas aleatórias na Steam para responder a postagens de usuários que enfrentam problemas técnicos, sugerindo comandos do PowerShell que, ao serem executados, baixam silenciosamente um executável do minerador XMRig.

O script malicioso se apresenta como uma ferramenta de otimização do Windows chamada ‘msf utility \ PC Opt’, prometendo realizar várias tarefas de manutenção. No entanto, a maioria dessas funções é enganosa e visa ocultar a verdadeira atividade maliciosa. O script desativa a validação de certificados TLS e cria uma pasta no diretório do Windows para evitar a detecção pelo Microsoft Defender. Além disso, ele estabelece regras de firewall para permitir conexões com um servidor remoto, onde o minerador é baixado e executado com privilégios de sistema.

Pesquisadores de cibersegurança revelaram uma nova campanha de cryptojacking que utiliza pacotes de software pirata como iscas para implantar um programa minerador XMRig em sistemas comprometidos. A análise do malware indica uma infecção sofisticada em múltiplas etapas, priorizando a maximização da taxa de hash de mineração de criptomoedas, o que pode desestabilizar o sistema da vítima. O ataque começa com engenharia social, onde usuários são enganados a baixar executáveis maliciosos disfarçados de softwares legítimos. O malware possui capacidades semelhantes a vermes, espalhando-se por dispositivos de armazenamento externo e permitindo movimento lateral, mesmo em ambientes isolados. Além disso, ele utiliza um driver vulnerável para escalar privilégios e garantir persistência. A campanha foi projetada para operar até uma data limite específica, 23 de dezembro de 2025, sugerindo um planejamento estratégico por parte dos atacantes. A atividade de mineração foi observada em novembro de 2025, com um pico em dezembro. Este caso destaca a inovação contínua do malware comercial, combinando engenharia social, disfarces de software legítimo e exploração de vulnerabilidades de kernel.