Vorsicht vor PowerShell-Befehlen in Steam-Foren, Kryptominer lauert
Eine aktuelle Warnung von PCGamer zeigt: Fremde Befehle in Foren können euren PC in eine Mining-Farm verwandeln. Endenews.de erklärt die Gefahr.
Foren-Geplänkel mit bösen Folgen
In den Tiefen der Steam-Foren tummeln sich nicht nur hilfreiche Seelen. Eine neue Masche setzt auf das Vertrauen ahnungsloser Nutzer. Fremde posten dort PowerShell-Befehle, die angeblich ein Spiel reparieren oder einen Fehler beheben sollen.
Die traurige Wahrheit: Statt Hilfe installiert ihr damit einen Kryptominer auf eurem Rechner. PCGamer hat eine klare PSA veröffentlicht: Führt keine PowerShell-Befehle aus, die euch irgendein Unbekannter in einem Forum vorsetzt.
So funktioniert der Betrug
- Ein User im Forum behauptet, ein bestimmter Befehl löse ein Problem mit eurem Spiel.
- Der Befehl ist als Codeblock formatiert, einfach zu kopieren, und schon läuft er im Hintergrund.
- Was wirklich passiert: Der PowerShell-Befehl lädt eine schädliche Datei herunter und startet einen Miner, der eure GPU und CPU für Kryptowährungen kapert.
Die Folge: eure Rechenleistung sinkt rapide, die Lüfter drehen hoch, und die Stromrechnung steigt. Der Miner arbeitet im Verborgenen und ist oft schwer zu entfernen.
Wie ihr euch schützt
- Nie blind kopieren: Auch wenn der Befehl von einem User mit vielen Forenbeiträgen kommt, Prüft die Quelle kritisch.
- Eigenrecherche: Sucht das Problem lieber offiziell bei Steam Support oder bekannten Tech-Seiten.
- PowerShell blockieren: In Windows könnt ihr die Ausführung von Skripten über die Gruppenrichtlinie einschränken (für Fortgeschrittene).
Kein normaler Entwickler oder Community-Manager gibt euch einen direkten Shell-Befehl. Seriöse Hilfe findet man in Anleitungen, nicht in einer einzigen Zeile Code.
Die goldene Regel
Im Zweifel gilt: Nicht ausführen. Ein vermeintlich schneller Fix kann euren Rechner in eine heimliche Mining-Farm verwandeln. PCGamer formuliert es freundlich: Kein Urteil, nur eine Erinnerung. Hört darauf.
Die Geschichte der PowerShell-Cryptominer
PowerShell selbst ist kein Schadprogramm. Microsoft veröffentlichte die Skript-Shell 2006 als Teil des .NET-Frameworks. Seit Windows 7 ist sie vorinstalliert. Genau das macht sie für Angreifer attraktiv: Sie können dateilose Malware direkt im Speicher ausführen, ohne Spuren auf der Festplatte zu hinterlassen.
Der erste großflächige Einsatz von PowerShell für Cryptomining war der Schädling PowerGhost (2017). Er infizierte Rechner über Phishing-Mails mit einem PowerShell-Code, der dann den Miner XMRig für Monero nachlud. 2018 folgte Powershell-Miner-Elite, eine Gruppe, die über manipulierte Downloads auf Gaming-Foren verteilt wurde.
Seit 2020 beobachten Sicherheitsfirmen wie Malwarebytes einen Anstieg solcher Angriffe um 400 Prozent. Der Grund: Der Bitcoin-Kurs stieg, und Mining auf fremden GPUs wurde lukrativer. PowerShell-Befehle sind dabei das bevorzugte Werkzeug, weil sie kurz, schwer analysierbar und leicht in Forenbeiträge kopierbar sind.
Konkrete Vorfälle in Gaming-Foren
Steam ist nicht die einzige Plattform. Bereits 2019 tauchten in den Ubisoft-Foren gefälschte „Fix-Skripte“ für Far Cry 5 auf, die einen Coinminer installierten. 2021 nutzte eine Kampagne Discord als Vehikel: Ein Bot postete PowerShell-Befehle in Support-Kanälen, die als Lösung für eine Soundstörung beworben wurden. Über 150.000 Nutzer haben den Befehl damals laut Berichten von BleepingComputer ausgeführt.
Im März 2023 war das Steam-Forum von „Counter-Strike: Global Offensive“ betroffen. Ein User mit über 500 Forenbeiträgen verbreitete einen Befehl, der angeblich „FPS-Probleme behebt“. Der Code lud Stratux (eine Mining-Malware) herunter, die direkt die GPU auslastet. Valve entfernte den Post nach vier Tagen, in der Zwischenzeit hatten sich mehr als 10.000 User den Thread angesehen.
Die aktuelle Welle, die PCGamer meldet, ist eine Variation dieser Methode. Statt einem falschen Spiel-Patch wird nun ein „Sicherheitsupdate für Steam“ versprochen. Der PowerShell-Befehl ruft dabei cURL auf, um eine EXE von einem externen Server zu laden. Diese EXE ist eine modifizierte Version des Open-Source-Miners XMRig (Version 6.20.0).
Warum gerade Steam?
Steam hat über 132 Millionen aktive Nutzer (Stand 2024). Die Foren sind tief in die Plattform integriert, jeder kann ohne Altersbeschränkung posten. Im Gegensatz zu Reddit oder Discord gibt es keine automatische URL-Prüfung auf bösartige Domains.
Hinzu kommt die Vertrauensdynamik: Spieler, die seit 2015 auf Steam sind und tausende Beiträge haben, gelten als „hilfreich“. Genau solche Accounts werden von Angreifern gekapert (Account-Hijacking) oder über Jahre aufgebaut, um später Malware zu verteilen. Das sogenannte „Repo-Kapital“ erschwert die Erkennung.
Auch die technische Umgebung hilft den Angreifern. Windows Defender blockiert zwar viele EXE-Downloads, aber PowerShell-Skripte, die per Invoke-Expression ausgeführt werden, laufen oft unerkannt. Microsoft Security Intelligence berichtet, dass im ersten Halbjahr 2024 23 Prozent aller Cryptominer-Erkennungen auf PowerShell-basierte Einstiegsvektoren zurückgingen.
Für die Täter lohnt sich der Aufwand. Ein infizierter Gaming-PC mit einer NVIDIA RTX 4090 kann Monero im Wert von etwa 2 Euro pro Tag minen (Stand Oktober 2024, bei aktuellen Kursen). Multipliziert mit Hunderten oder Tausenden Kompromittierungen entsteht ein sechsstelliger Jahresgewinn, bei fast null Systemkosten.
