Le danger n’est pas une brèche de Steam ni une vulnérabilité mystérieuse de Windows : c’est un joueur pressé, face à un crash ou à une erreur DirectX, convaincu de coller une commande PowerShell « réparatrice ». Des messages publiés dans les discussions Steam exploitent précisément ce réflexe pour installer XMRig, un mineur de Monero, puis le relancer discrètement à chaque démarrage. Le schéma porte un nom, ClickFix : au lieu de forcer une porte technique, l’attaquant persuade la victime de l’ouvrir elle-même avec les droits administrateur.
C:\Windows\Background, une exclusion Defender pour ce dossier et une tâche nommée XMRig-.Les forums de Steam restent utiles pour identifier un bug déjà rencontré par d’autres. C’est justement ce qui les rend intéressants pour les escrocs. Une réponse qui ressemble à un dépannage communautaire, rédigée avec le vocabulaire de Windows et publiée sous un compte jetable, paraît moins suspecte qu’un exécutable envoyé par un inconnu. Le message demande généralement d’ouvrir Exécuter avec Win+R, ou PowerShell en administrateur, puis d’y coller une longue ligne de commande.
La distinction compte : PowerShell est un outil légitime d’administration, pas un indicateur de malware en soi. Mais aucune assistance technique sérieuse ne devrait demander à un joueur d’exécuter, sans explication lisible, une commande administrative récupérée dans un fil public. C’est l’équivalent moderne du vieux fichier « patch.exe » miraculeux : le format a changé, le mécanisme de confiance abusée reste le même.
La chaîne observée ne se limite pas au téléchargement d’un programme indésirable. La commande lance PowerShell, récupère un script distant, puis tente d’affaiblir plusieurs défenses de Windows. Les éléments décrits comprennent une modification de paramètres liés à la validation TLS, des moyens de masquer l’activité ou les fichiers à Microsoft Defender, ainsi que l’ouverture d’une règle de pare-feu permettant la communication vers l’infrastructure de contrôle du mineur.
Le script télécharge ensuite XMRig et le lance pour consommer les ressources de la machine au profit d’un tiers. Le symptôme le plus visible est banal mais coûteux : processeur ou carte graphique sollicités sans raison, ventilateurs constamment audibles, jeux moins fluides et consommation électrique en hausse. Un cryptomineur n’a pas besoin de rendre le PC inutilisable ; il cherche plutôt un niveau de charge assez discret pour rester longtemps en place.
La création d’une tâche planifiée est ici le détail le plus révélateur. Elle transforme un mauvais copier-coller en problème persistant : fermer le processus ou redémarrer le PC ne suffit plus. C’est aussi la question que toute modération de plateforme devrait traiter avec davantage d’urgence : combien de temps un faux correctif peut-il rester visible dans un sujet de dépannage avant d’être supprimé ? Dans une discussion consacrée à un jeu qui refuse de démarrer, quelques heures peuvent suffire.
Une personne ayant exécuté un tel « fix » doit d’abord couper la connexion Internet et ne surtout pas relancer la commande. Il faut ensuite effectuer une analyse complète avec l’antivirus installé, puis examiner les traces laissées par la variante décrite. Le dossier C:\Windows\Background constitue un premier indicateur. Dans Sécurité Windows, les exclusions de Microsoft Defender doivent également être contrôlées : une exclusion visant ce dossier est suspecte et doit être supprimée.
XMRig- ou contenant XMRig-[nom du PC].C:\Windows\Background et son contenu s’ils sont présents.Le pattern risque de migrer d’un forum à l’autre et d’un jeu à l’autre, parce qu’il ne dépend pas d’une faille propre à un titre. Il dépend d’un problème suffisamment frustrant pour faire abandonner les réflexes de sécurité. Les joueurs doivent donc surveiller les réponses qui combinent urgence, droits administrateur et commande opaque, surtout lorsqu’elles promettent de « réparer Windows » plutôt que d’indiquer une procédure vérifiable dans Steam ou dans les paramètres du jeu.
En bref : de faux dépannages Steam peuvent déployer XMRig via PowerShell. L’attaque révèle que l’entraide communautaire est devenue une surface de social engineering aussi rentable que les faux téléchargements. Le signal concret à surveiller est une persistance nommée XMRig-, associée au dossier C:\Windows\Background et à une exclusion Defender inhabituelle.
Accédez à des stratégies exclusives, des astuces cachées et des analyses pro que nous ne partageons pas publiquement.
Guide stratégique ultime Actualité + Astuces pro hebdomadaires