<p>Sur les forums Steam, de faux dépanneurs proposent une commande PowerShell « miracle » qui installe en réalité un mineur de cryptomonnaie et crée...
« Copiez cette commande, collez-la dans PowerShell en administrateur, et votre problème sera réglé. » Derrière ce conseil apparemment serviable se cache aujourd'hui l'un des principaux modes d'entrée des attaquants dans les systèmes d'entreprise. Une campagne repérée le 25 juillet 2026 sur les forums de discussion Steam en donne une illustration parfaite — et la leçon vaut largement au-delà du monde du jeu vidéo. Des comptes créés pour l'occasion surveillent les messages d'utilisateurs en difficulté: un jeu qui plante, des objets perdus, un ordinateur qui rame. Ils répondent avec bienveillance et proposent un « correctif » à copier-coller dans PowerShell ouvert en administrateur.
La commande installe en réalité un mineur de cryptomonnaie XMRig, qui utilise la puissance de la machine au profit des attaquants. Pour endormir la méfiance, le script se déguise en utilitaire d'optimisation Windows baptisé « msf utility \ PC Opt » et affiche de fausses barres de progression — nettoyage des fichiers temporaires, vidage du cache DNS, mise à jour des pilotes, analyse antivirus — avec des pauses de 1,5 à 8 secondes pour paraître crédible.
Pendant ce théâtre, le script fait tout autre chose en arrière-plan: il désactive la vérification des certificats TLS, crée un dossier discret dans C:\Windows\Background, ajoute une exclusion Microsoft Defender sur ce dossier, contacte un serveur distant en TCP/443, télécharge la charge utile (un fichier system.txt renommé en system.exe) et crée enfin une tâche planifiée nommée « XMRig-[nom-du-poste] » qui se relance à chaque démarrage avec les privilèges SYSTEM. Le leurre est secondaire: c'est la technique qui compte. Elle porte un nom, ClickFix, et consiste à faire exécuter manuellement une commande par la victime elle-même sous un prétexte crédible — un dépannage sur un forum, une fausse vérification « je ne suis pas un robot », un document qui refuse de s'afficher correctement, un message de support technique.
Le point clé: comme c'est l'utilisateur qui lance la commande de ses propres mains, une partie des protections automatiques ne se déclenche pas. Le système considère l'action comme légitime. Et le même schéma sert aujourd'hui à déposer des voleurs d'identifiants et des rançongiciels, pas seulement des mineurs de cryptomonnaie.
Deux signaux aggravants dans cette campagne: les droits administrateur sont exigés d'emblée, et l'exclusion Defender laisse la porte grande ouverte à n'importe quelle charge déposée ultérieurement dans le même dossier. Autrement dit, la machine reste utilisable par les attaquants bien après l'installation du mineur.
Les risques pour l'entreprise
Un poste durablement compromis: la tâche planifiée s'exécute avec les privilèges SYSTEM, le niveau de droits le plus élevé de Windows. Un angle mort dans l'antivirus: l'exclusion Defender neutralise la détection sur un chemin précis, que l'attaquant peut réutiliser à volonté.
Une escalade possible: accès initial obtenu, l'étape suivante peut être le vol d'identifiants Microsoft 365 ou le déploiement d'un rançongiciel sur le réseau. Une dégradation visible: lenteurs, ventilateurs qui s'emballent, facture électrique en hausse — souvent le seul symptôme perçu, et rarement attribué à une attaque. Diffuser une règle absolue aux équipes: ne jamais copier-coller une commande dans PowerShell, dans la boîte « Exécuter » (Win+R) ou dans un terminal, quelle qu'en soit la source — forum, chat de support, pop-up, faux CAPTCHA, e-mail. Aucun éditeur légitime ne demande cela à un utilisateur final. Retirer les droits administrateur locaux des comptes utilisateurs. C'est la mesure la plus efficace contre cette attaque précise: le script échoue et s'arrête de lui-même s'il n'obtient pas l'élévation.
Restreindre PowerShell: politique d'exécution en AllSigned ou Restricted pour les utilisateurs standard, et activation du mode de langage contraint (Constrained Language Mode) via AppLocker ou WDAC sur les postes bureautiques. Surveiller les exclusions Microsoft Defender (journal Windows Defender, événement 5007). Une exclusion ajoutée en dehors du processus informatique est un indicateur de compromission à traiter immédiatement.
Activer la journalisation des blocs de script PowerShell (Script Block Logging, par GPO) et la remonter dans les journaux centralisés. Bloquer le domaine msfconfig[.]icu sur le filtrage DNS et le pare-feu périmétrique.
Comment vérifier votre parc dès aujourd'hui
Quatre indices permettent de repérer un poste touché: la présence du dossier C:\Windows\Background, un fichier system.exe à cet emplacement, une tâche planifiée dont le nom commence par « XMRig- », ou une exclusion Defender pointant vers ce chemin. Une règle de pare-feu sortante inhabituelle vers le port 443 constitue un signal supplémentaire.
En cas de détection: arrêter et supprimer la tâche planifiée, retirer l'exclusion Defender, supprimer le dossier, puis analyser le poste. La charge ayant tourné avec les privilèges SYSTEM, la réinstallation complète du poste reste l'option la plus sûre — on ne peut jamais garantir qu'un attaquant disposant de SYSTEM n'a rien laissé d'autre derrière lui. Cette campagne s'inscrit dans un mouvement plus large. La même semaine, une opération de publicité malveillante s'appuyant sur de faux sites Solana, Luno et TradingView faisait assembler le logiciel malveillant directement dans la mémoire du navigateur: aucun fichier complet ne transite sur le réseau, et l'empreinte du fichier diffère à chaque téléchargement, ce qui rend la détection par signature inopérante.
La logique est identique dans les deux cas: plutôt que de chercher à tromper l'antivirus, les attaquants organisent les choses pour qu'il n'ait rien à analyser. Face à cela, la vigilance des utilisateurs et la limitation des droits redeviennent les défenses les plus déterminantes. Si un collaborateur vous signale avoir exécuté une commande trouvée sur un forum ou dans un message de support, ne minimisez pas: traitez le poste comme potentiellement compromis et faites-le examiner. Chez TICLIC, nous accompagnons les PME dans la vérification de leur parc, le durcissement des postes Windows et la sensibilisation des équipes à ce type de manipulation.
Source: BleepingComputer, 25 juillet 2026.