Steam-Hilfethreads werden genutzt, um Kryptominer einzuschleusen

Die Steam-Diskussionsforen sind die Anlaufstelle für Spieler, deren Spiele nicht starten – und genau das haben Angreifer ausgenutzt. Betrüger antworten in Hilfethreads mit gefälschten Lösungen, die letztendlich einen Kryptowährungs-Miner auf dem Rechner installieren. Diese Kampagne wurde zuerst von Bleeping Computer aufgedeckt.

Die Vorgehensweise ist so einfach, dass sie funktioniert. Jemand postet über einen Absturz, eine fehlerhafte Installation oder fehlende Spielgegenstände. Daraufhin erhält er eine Antwort, in der er aufgefordert wird, PowerShell als Administrator zu öffnen und einen Befehl einzufügen, der als Lösung präsentiert wird. Da das Opfer den Befehl selbst eingibt, entgeht der Download den Prüfungen, die normalerweise schädliche ausführbare Dateien stoppen würden. Diese Technik hat einen Namen: ClickFix. Sie funktioniert, indem sie als Hilfe und nicht als Anhang getarnt ist.

Ich habe dieses Jahr damit verbracht, mir das Programmieren beizubringen, indem ich Befehle, die ich nur halb verstehe, ins Terminal eingefügt habe – genau die Angewohnheit, die dieser Angriff ausnutzen will. Der Thread ist echt. Die Person, die um Hilfe bittet, ist echt. Nur die Antwort ist manipuliert.

Bildquelle: BleepingComputer

Das Skript tarnt sich als Wartungsarbeit. Es gibt sich als Windows-Optimierungsprogramm aus und erzeugt eine Reihe gefälschter Fortschrittsmeldungen über Treiberaktualisierungen, Datendefragmentierung und das Leeren des Papierkorbs – allesamt Aktionen, die es gar nicht ausführt. Die Meldungen erscheinen in zufälligen Abständen von etwa 1,5 bis 8 Sekunden, sodass der Prozess aktiv wirkt. Führt man das Skript ohne Administratorrechte aus, erscheint eine Fehlermeldung, dass Administratorrechte benötigt werden, und es beendet sich. Genau diese Weigerung ist der Grund für die Anweisung, Administratorrechte zu verwenden.

Mit Administratorrechten startet das Skript seine Arbeit. Es deaktiviert die TLS-Zertifikatsvalidierung, erstellt ein Verzeichnis im Windows-Ordner, das der Ausnahmeliste von Microsoft Defender hinzugefügt wird, weist die Windows-Firewall an, Datenverkehr zu einer externen Domäne mit dem Namen msfconfigicu zuzulassen, und installiert einen XMRig-Miner. Anschließend registriert es eine geplante Aufgabe mit dem Namen des Rechners, sodass der Miner jedes Mal mit Windows startet. Von da an arbeitet der Computer unbemerkt für einen anderen Benutzer, und die Software lässt sich nur schwer entfernen.

Die Empfehlungen zur Wiederherstellung sind eindeutig. Sollten Sie eine geplante Aufgabe oder einen Ordner in Windows finden, der eine von Ihnen nicht erstellte Defender-Ausnahme enthält, ist die Neuinstallation des Betriebssystems die sicherere Vorgehensweise. Denn es lässt sich nicht feststellen, welche weiteren Daten das Skript mit Administratorrechten heruntergeladen hat. Jeder, der den Befehl ausgeführt hat, sollte gespeicherte Passwörter und Sitzungstoken als kompromittiert betrachten und nicht annehmen, dass der Miner die einzige Schadsoftware war.

Dieses spezielle Skript ist Windows-spezifisch, doch das von ihm ausgenutzte Verhalten ist anderswo weit verbreiteter. Das Ausführen von aus dem Internet kopierten Skripten ist ein routinemäßiger Bestandteil der Installation von Spielen unter Linux, wodurch PC-Spielneulinge in diesem Bereich ein leichteres Ziel für diese Masche werden. Die Verteidigung ist in beiden Fällen dieselbe und wenig glamourös: Führen Sie keine Befehle aus, die Ihnen von Fremden gegeben werden, egal wie selbstsicher diese klingen.

Steam kämpft das ganze Jahr über mit diesem Problem auf Shopseite. Ein Malware-Spiel auf Steam, ein Early-Access-Titel namens Chemia, der nur auf Anfrage erhältlich war, enthielt neben sich selbst auch Fickle Stealer und HijackLoader. Forscher von Prodaft brachten es mit der Gruppe Larva-208 in Verbindung und wiesen auf eine Datei hin, die am 22. Juli in den Build aufgenommen wurde und weitere Schadsoftware einschleuste.

„Wenn Benutzer das Spiel herunterladen und starten, wird die Schadsoftware parallel zur legitimen Anwendung ausgeführt.“

— Prodaft

Chemia war der dritte bekannte Vorfall innerhalb von sechs Monaten. PirateFi wurde als Free-to-Play-Titel veröffentlicht und über Telegram mit Bot-Nachrichten und gefälschten Moderatoren-Stellenangeboten beworben. Sniper: Phantom's Resolution enthielt in seiner Steam-Version nie Malware, da ein Betrüger die Domain registrierte, die die echten Entwickler zwar angegeben, aber noch nicht erworben hatten, und darüber eine gefälschte Demo anbot. Unabhängig davon identifizierte das FBI fünf infizierte Steam-Spiele, mit denen Spielern mindestens 220.000 US-Dollar entwendet wurden. Jeder Angriff erfolgte über einen anderen Weg: interner Upload, externer Link, manipuliertes Update und nun die Foren, die ohnehin keiner Überprüfung der Beiträge unterliegen. Ich weiß, dass zwei dieser drei Fälle im Steam Store von externen Forschern und Nutzern und nicht von Valve selbst aufgedeckt wurden, was einiges darüber aussagt, wo die Überprüfung tatsächlich stattfindet.

Nichts davon ist Valve-spezifisch. PlayStation wurde im Mai 2026 von einer Welle von Account-Hacks getroffen, und Krypto-basierte Übernahmen gab es wiederholt auf YouTube-Kanälen und Unternehmensaccounts, darunter auch im Juli 2025 bei Stellar Blade. Das Ausmaß erklärt die Aufmerksamkeit. Steam verzeichnete in den ersten sechs Monaten des Jahres 2026 sein bestes Halbjahr aller Zeiten mit geschätzten 11,1 Milliarden US-Dollar Umsatz laut Alinea Analytics. Dazu trugen höhere Preise für Neuerscheinungen und die Rückkehr von Spielen durch Publisher bei, nachdem diese ihre eigenen Launcher eingestellt hatten. Anfang 2025 gehörte die Hälfte aller Steam-Accounts chinesischsprachigen Nutzern – ein wichtiger Faktor, der die Plattform zwischen den Veröffentlichungen stützt.

„Wenn man den Blick über das letzte Jahrzehnt schweifen lässt, wird es richtig verrückt.“

— Rhys Elliott

Ein Shop dieser Größe ist ein ständiges Ziel für Angreifer, und die Bereiche, die eigentlich gar kein Shop sind, ziehen diese besonders an. Über 90% der Steam-Nutzer lesen Rezensionen vor dem Kauf, 40% sogar jedes Mal, und gemischte Bewertungen schrecken mehr als die Hälfte ab. Die Community-Ebene ist der entscheidende Faktor für den Kaufprozess und daher sowohl für Valve als auch für alle anderen wertvoll, die Tausende von Nutzern erreichen möchten, die gerade Probleme mit ihrem PC haben. Ich denke, die Vorfälle im Shop deuten auf Lücken im Bewertungssystem hin, die Valve mit besseren Kontrollen schließen kann, während der Angriff auf das Forum auf eine Ebene hinweist, auf der es überhaupt keine Kontrolle gibt, da Antworten in Threads nicht zur Genehmigung eingereicht werden.

Diese Ebene wird nun kopiert. Der Epic Games Store überarbeitet seinen Launcher und integriert schriftliche Spielerbewertungen, Spielerprofile, Produktdetailseiten und Patchnotes direkt auf den Shopseiten. Zudem verspricht er einen fünfmal schnelleren Kaltstart als die aktuelle App. Genau diese Funktionen machen Steam so attraktiv, und sie bringen dasselbe Problem mit sich: Ein Shop mit Community-Antworten bietet auch Fremden die Möglichkeit, Lösungen anzubieten.

Valve hat das ganze Jahr über die von Nutzern gewünschten Funktionen von Steam verbessert, darunter eine Überarbeitung des Geschenksystems. Spieler können nun Spiele an Freunde ohne Steam-Account und regionsübergreifend senden, wobei der Preis an den Empfänger angepasst wird. Jede Funktion, die die Plattform erweitert, erweitert auch das Umfeld. Die praktischen Schritte sind vorerst klein. Gehen Sie standardmäßig davon aus, dass jede Forenanfrage nach Administratorrechten verdächtig ist. Überprüfen Sie die Aufgabenplanung und das Windows-Verzeichnis, falls Sie etwas ausgeführt haben, das Sie bereuen. Und denken Sie daran: Das gefälschte Dienstprogramm dient lediglich dazu, beschäftigt auszusehen, während es arbeitet. Diejenigen, die dies tun, beschädigen Steam nicht. Sie nutzen es genau so, wie es gedacht ist, und beantworten eine Frage, die sonst niemand beantwortet hat.

Lesen Sie auch: Die ukrainische Polizei in der Oblast Lwiw hat eine Gruppe festgenommen, die beschuldigt wird, zwischen Oktober 2025 und Januar 2026 über 600.000 Roblox-Konten gestohlen und diese in russischen Foren für fast 10 Millionen Hrywnja (umgerechnet etwa 240.000 bis 250.000 US-Dollar) weiterverkauft zu haben. Die Ermittler geben an, dass die drei Verdächtigen im Alter von 19, 21 und 22 Jahren gestohlene Cookie-Dateien und Schadsoftware zum Diebstahl von Zugangsdaten verwendet haben, die als Cheats und kostenlose Robux-Generatoren verbreitet wurden – dieselbe Masche wie bei der Steam-Kampagne, die sich an ein jüngeres Publikum richtete.