在PC玩家最活躍的遊戲社群平台Steam上，近期爆發了一波針對玩家求助貼文的『ClickFix』新型社交工程惡意攻擊。許多玩家在遊戲中遇到當機、閃退或道具遺失等技術問題時，習慣前往討論區尋求協助，不料這卻成了惡意駭客眼中的絕佳機會。威脅行為者利用大量隨機創立的帳號，偽裝成熱心提供解決方案的資深玩家，誘導受害者在自己的電腦上以系統管理員權限執行惡意的PowerShell指令，進而在背景悄悄下載並植入名為『XMRig』的門羅幣挖礦木馬程式。
▲ 官方封面 (來源: IGDB)
| 事件名稱 | Steam 討論區 ClickFix 惡意挖礦攻擊 |
| 受害平台 | PC / Windows 系統 |
| 核心技術 | PowerShell 惡意腳本、XMRig 挖礦程式 |
| 攻擊手法 | 社交工程偽裝技術支援、ClickFix 誘導機制 |
| 防範建議 | 拒絕執行不明指令、手動檢查 Background 排程 |
揭秘 ClickFix 攻擊手法：如何利用玩家的焦慮與信任
這次在Steam論壇蔓延的『ClickFix』手法，本質上是一種高度精準的社交工程攻擊。駭客首先會鎖定那些在遊戲討論區中發布當機、錯誤代碼或存檔遺失等技術問題的焦慮玩家。接著，駭客會留下看似非常專業且步驟詳盡的『教學回覆』，指導玩家按下特定快捷鍵、開啟系統管理員權限的PowerShell並複製貼上一串複雜的指令。由於玩家此時處於急著想回到遊戲的心態，加上回覆內容包裝得如同官方維護步驟，極易放下戒備手動執行，而這正好繞過了許多資安防護軟體的自動攔截機制。
一旦玩家執行了該段PowerShell腳本，畫面便會跳出一個偽裝成『msf utility \\ PC Opt』的Windows系統最佳化工具。為了增加真實性，這個假工具在執行時會顯示正在清除暫存檔案、清空DNS快取、重設磁碟與修復Windows映像檔等一連串虛擬的維護進度條。這些訊息絕大多數都只是假動作，甚至還會隨機延遲1.5至8秒，藉此製造出電腦正在進行深度掃描的假象，讓玩家誤以為問題真的正在被解決，從而掩蓋背景正在進行的實質惡意侵入。
深入解析 XMRig 挖礦木馬的潛伏與防禦漏洞
隱藏在系統優化假象背後的，是名為『Advanced-Optimization』的惡意功能模組。該模組在運行時，會先關閉系統的TLS憑證驗證，並確認當前執行環境是否已取得系統管理員權限。一旦確認取得高權限，惡意程式會立即建立名為『C:\\Windows\\Background』的目錄，並將該路徑強制加入Microsoft Defender的掃描排除清單中，徹底讓後續的惡意行為對Windows內建防毒軟體隱形。此時的Steam用戶如果沒有查看背景程序，很難發現自己的硬體資源已被竊取。
緊接著，腳本會先清理戰場，停止所有既有的『XMRig』或『system』相關程序，並刪除可能存在的舊設定檔。這個步驟可能是為了清除競爭對手的挖礦程式，或者是為了更新自身的版本。隨後，程式會建立一條臨時的Windows防火牆外連規則，允許透過TCP 443連接埠連線至特定惡意網域，將真正的挖礦程式主體下載至隨機命名的暫存檔，最後重新命名為『system.exe』移入剛才建立的排除目錄中，並設定為隨Windows開機自動啟動的系統排程工作。
玩家如何自我檢測與徹底清除惡意殘留
對於曾在Steam討論區嘗試過不明修復指令的玩家，建議立即進行系統自我體檢。首先，打開檔案總管確認『C:\\Windows\\Background』這個特殊目錄是否存在。其次，進入Windows安全性中心，檢查Microsoft Defender的『排除項目』中是否被私自加入了上述路徑。最後，開啟『工作排程器』，搜尋是否存在名稱以『XMRig-』開頭、後面跟著電腦名稱的異常排程工作。
若發現上述任何一項特徵，代表系統已被入侵。玩家必須立刻手動終止該排程工作、刪除Defender的排除設定，並將相關資料夾與其中的惡意檔案徹底抹除。然而，由於無法100%確認該惡意程式在潛伏期間是否還下載了其他後門程式或竊取了瀏覽器中的個人隱私帳密，對於重視帳號安全的硬派玩家而言，最安全、最徹底的解決手段依然是將作業系統重灌，並全面更改重要帳號的密碼。
Steam 社群防衛戰：別讓急迫性成為駭客入侵的綠色通道
在現今高度複雜的網路安全環境下，玩家的社交防備心已成為 PC 防護的最弱環節。這次 ClickFix 攻擊利用了玩家急於修復遊戲的心理，將複雜的 PowerShell 指令包裝成救命稻草。要從根本杜絕此類危機，除了 Steam 官方需加強討論區的關鍵字審查與惡意網址過濾外，玩家更應牢記『絕不在系統核心執行任何未經核實的第三方指令』這條鐵律。否則，你以為的效能優化，終將成為幫他人免費打工的挖礦溫床。
遊戲軌道最終評分: 7.5 / 10