SteamのフォーラムでClickFix(クリックフィックス)が発生-ユーザーの投稿へ解決策を提案し仮想通貨を窃取するサイバー攻撃キャンペーン|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月27日更新日時: 2026年07月27日

ゲーム配信プラットフォームSteamのディスカッションフォーラムが、ClickFix攻撃に悪用されていることが2026年7月25日、BleepingComputerの報道により明らかになりました。攻撃者はランダムに作成したSteamアカウントを使い、ゲームのクラッシュやアイテム消失といった技術的な問題を相談する投稿に対し、あたかも有用な解決策であるかのように装った返信を投稿しています。

返信では「PowerShellを管理者権限で開き、このコマンドを実行すれば直る」と指示しますが、実際にコマンドを実行すると、XMRigという暗号通貨マイナーが密かにダウンロードされ、被害者のコンピューターで起動されます。ClickFixは偽のエラーや修正手順を提示して被害者自身に悪意あるコマンドを手動で実行させるソーシャルエンジニアリング手法であり、利用者が自ら実行するためセキュリティ製品による自動ブロックをすり抜けやすいという特徴があります。

サマリー

SteamのディスカッションフォーラムがClickFix攻撃に悪用されていることが判明
攻撃者はランダムなSteamアカウントで、技術的問題の相談投稿に偽の解決策を返信
「PowerShellを管理者権限で開いてコマンドを実行すれば直る」と誘導
実行するとXMRig暗号通貨マイナーが密かにダウンロード・起動される
悪意あるスクリプトはWindows最適化ツール「msf utility \ PC Opt」を装う
大半の機能は偽の進捗表示のみで、実際の最適化は行わず正当性を演出
Microsoft Defenderの除外設定やスケジュールタスク登録で永続化
感染の痕跡はC:\Windows\BackgroundフォルダとXMRig-で始まるタスク
ユーザーはフォーラムで見知らぬ人物が提示するPowerShellコマンドを実行してはならない

項目	内容
報道日	2026年7月25日
攻撃の舞台	Steamのディスカッションフォーラム
攻撃手法	ClickFix（ソーシャルエンジニアリング）
誘導内容	管理者権限のPowerShellでコマンドを実行
感染するマルウェア	XMRig（暗号通貨マイナー）
偽装名	msf utility \ PC Opt（Windows最適化ツール）
C2ドメイン	msfconfig[.]icu（TCP 443）
ペイロードURL	hxxps://msfconfig[.]icu:443/tmp/system.txt
インストール先	C:\Windows\Background\system.exe
永続化	XMRig-[コンピューター名]という名称のスケジュールタスク

何が起きたか――フォーラムの「善意の助言」に偽装した攻撃

BleepingComputerは、この攻撃キャンペーンを読者からの報告で把握したとしています。攻撃者は、ゲームのクラッシュ、インベントリのアイテム消失、その他の技術的な問題について投稿しているユーザーに対し、あたかも役立つ修正方法であるかのように見せかけた返信を投稿するために、ランダムなSteamアカウントを次々と作成しています。

攻撃者は他のメンバーの投稿に返信し、「問題を解決するには、PowerShellを管理者として開き、このコマンドを実行してください」と伝えます。しかし、そのコマンドを実行すると、XMRigマイナーの実行ファイルが密かにダウンロードされ、コンピューター上で起動されます。

こうした攻撃はClickFixとして知られています。ClickFixは偽のエラー、検証プロンプト、トラブルシューティング手順を表示して、被害者を騙し悪意あるコマンドを手動で実行させるソーシャルエンジニアリングの手法です。ClickFix攻撃は被害者の操作を必要とするものの、ユーザーに対して、自分が抱えている問題の正当な解決策であるかのように見せかけるため効果的です。しかも被害者が自らコマンドを起動するため、本来であれば実行された悪意あるコードを自動的にブロックするはずの一部のセキュリティ保護をすり抜けることもできます。

偽のWindows最適化ツールを装うPowerShellスクリプト

Steamのこのキャンペーンで配布されるPowerShellスクリプトは、「msf utility \ PC Opt」という名前のWindows最適化ユーティリティを装っています。

起動すると、このスクリプトは一時ファイルのクリーニング、DNSキャッシュのフラッシュ、ドライバーの更新、ディスクチェック、不要なスタートアップ項目の無効化、マルウェアのスキャン、Windowsイメージの修復、システムファイルチェッカーの実行など、数多くのメンテナンス作業を実行しているかのようなメッセージを表示します。

しかし、これらの機能の大半は表示どおりの作業を実際には行いません。代わりに偽の進捗メッセージを表示し、1.5秒から8秒のランダムな時間だけ処理を一時停止することで、ユーティリティが正当なものであるかのように見せかけます。サーバーサイドエンジニアとしてスクリプトの挙動を分析してきた立場から見ると、この「わざと処理を待たせる」演出は、ユーザーに本物の最適化作業が進行していると錯覚させるための巧妙な心理的トリックです。実際には何もしていない処理に待ち時間を挿入することで、正規のツールらしさを偽装しています。

悪意ある本体は「Advanced-Optimization」関数に隠されている

実際の悪意ある活動は、「Advanced-Optimization」という名前の関数に隠されています。

この関数はまずTLS証明書の検証を無効化し、管理者権限で実行されているかを確認します。管理者権限がない場合、スクリプトは管理者権限が必要だというエラーを表示して終了します。つまり、この攻撃が成立するには、被害者が「管理者として実行」を選んでいることが前提となっています。フォーラムの指示で「PowerShellを管理者権限で開いてください」と誘導しているのは、このためです。

管理者権限で実行されると、スクリプトは以下の一連の動作を行います。まず「C:\Windows\Background」というディレクトリを作成し、これをMicrosoft Defenderのスキャン対象から除外する設定を追加します。セキュリティ製品による検知を回避するための措置です。

次に、既存の「XMRig-[コンピューター名]」という名前のスケジュールタスクを停止しようとし、インストールディレクトリから実行されている「xmrig」または「system」という名前のプロセスを終了させます。また、C:\Windows\Background\config.jsonとして保存されているXMRigの設定ファイルを削除しようとします。BleepingComputerは、このクリーンアップが同じマルウェアの以前のインストールの残骸を除去するためのものなのか、デバイスに既に存在する別のマイナーを排除するためのものなのかは不明だとしています。

XMRigマイナーのダウンロードと永続化

続いてマルウェアは、msfconfig[.]icuへのTCP 443ポート経由の接続を許可する一時的なWindowsファイアウォールの送信ルールを作成し、hxxps://msfconfig[.]icu:443/tmp/system.txtからXMRigマイナーのペイロードをランダムな名前の一時ファイルにダウンロードします。

インストールの前に、スクリプトはダウンロードしたファイルが空でないこと、そして有効な実行ファイルであることを検証します。問題がなければ、そのファイルをC:\Windows\Background\system.exeに移動します。

そして、Windowsが起動するたびにマイナーが起動するよう、「XMRig-[コンピューター名]」という名前の新しいスケジュールタスクを作成します。このタスクはsystem.exeをSYSTEM権限で起動します。これにより、PCの電源を入れるたびに暗号通貨のマイニングがバックグラウンドで実行され、被害者の知らないところでCPUリソースが消費され続けることになります。

XMRigとClickFixという組み合わせが意味するもの

XMRigは、本来はMonero（モネロ）という暗号通貨を採掘するためのオープンソースのマイニングソフトウェアです。それ自体は正規のツールですが、攻撃者がこれを被害者のデバイスに無断でインストールし、被害者の計算資源を勝手に使って暗号通貨を採掘する「クリプトジャッキング」に悪用するケースが後を絶ちません。感染したデバイスはCPU使用率が高止まりし、動作が重くなる、発熱する、電気代が増えるといった影響を受けます。

この攻撃で使われたClickFixという手口は、近年急速に拡大しているソーシャルエンジニアリングです。Microsoftの脅威分析チームは、ここ1年でClickFixが急速に広がり、日々数千台規模の端末が狙われていると指摘しています。偽のCAPTCHA認証やエラー表示を通じて、利用者自身にPowerShellやRunダイアログへコマンドを貼り付けて実行させるのが核となる仕組みで、情報窃取マルウェアや遠隔操作ツール、そして今回のような暗号通貨マイナーまで、幅広いペイロードの配布に使われています。

今回のSteamの事案が示す新しさは、攻撃の舞台がフォーラムのQ&Aだという点です。従来のClickFixが偽のエラー画面やフィッシングサイトを起点にするのに対し、この攻撃は「困っている人が助けを求めている場所」を悪用しています。ゲームのトラブルで困り、藁にもすがる思いで解決策を探しているユーザーは、親切そうな返信に飛びつきやすい心理状態にあります。攻撃者はその心理を的確に突いています。ClickFix攻撃は専用の自動化ツールが地下市場で流通するなど産業化も進んでおり、今後も新たな配布経路が登場することが予想されます。

感染確認の方法と対処

BleepingComputerは、ユーザーは一般原則として、ディスカッションフォーラムで見知らぬユーザーが提供するPowerShellコマンドを、たとえ現在抱えている問題の解決策として提示されたものであっても、決して実行してはならないと強く注意喚起しています。

すでにコマンドを実行してしまった場合、以下の侵害の痕跡を確認する必要があります。C:\Windows\Backgroundというディレクトリの存在、そのパスに対するMicrosoft Defenderの除外設定、そして「XMRig-」で始まるスケジュールタスクです。

これらの侵害の兆候が検出された場合、直ちにアンチウイルスプログラムを実行してマルウェアをスキャンし、検出されたものをすべて削除すべきです。もしアンチウイルスがマイナーを検出しない場合は、手動でXMRig-[コンピューター名]のスケジュールタスクを停止・削除し、C:\Windows\Backgroundに対するMicrosoft Defenderの除外設定を削除し、そのフォルダとその内容を削除する必要があります。

ただしBleepingComputerは、最終的にはOSを再インストールする方が安全かもしれないとも指摘しています。ダウンロードされたペイロードが実行中に他の悪意ある動作を行ったかどうかを知る術がないためです。

情報システム部門への示唆

この事案は個人のゲーマーを主な標的としていますが、企業の情報システム部門にとっても示唆に富んでいます。

第一に、ClickFixは技術的防御をすり抜ける前提で対策を考える必要があるという点です。ユーザーが自ら管理者権限でコマンドを実行するため、EDRやアンチウイルスが自動的にブロックできないケースがあります。従業員に対し、出所不明のPowerShellコマンドを絶対に実行しないという原則を、具体的な事例とともに周知する教育が最も有効な防御になります。

第二に、PowerShellの実行制御です。業務上PowerShellを必要としない一般利用者に対しては、実行ポリシーの制限、AppLockerやWDAC（Windows Defender Application Control）によるスクリプト実行の制限、そしてPowerShellのスクリプトブロックログの有効化による監視が有効です。

第三に、業務端末での不審なプロセスとリソース消費の監視です。クリプトジャッキングはCPU使用率の異常な高止まりとして現れます。今回の痕跡であるC:\Windows\Backgroundのようなシステムディレクトリを装った不審なフォルダ、Defenderの除外設定の不審な追加、SYSTEM権限で動作する見慣れないスケジュールタスクは、EDRやSIEMでの検知ルールとして設定する価値があります。

なお、SteamをめぐってはSteam WorkshopがマルウェアPetaba配布に悪用された事案など、正規のプラットフォームが攻撃の踏み台とされるケースが繰り返し発生しています。信頼できるプラットフォーム上であっても、ユーザー生成コンテンツや他ユーザーの投稿には常に警戒が必要です。