Das in der Steam-Kampagne verteilte PowerShell-Skript tarnt sich als Windows-Optimierungswerkzeug mit dem Namen „msf utility \ PC Opt“. Nach dem Start zeigt es Meldungen an, wonach es temporäre Dateien bereinige, den DNS-Cache leere, Treiber aktualisiere, den Datenträger prüfe, unnötige Autostart-Einträge abschalte, nach Schadsoftware scanne, das Windows-Abbild repariere und den Systemdatei-Überprüfer ausführe.
Laut dem Bericht führen die meisten dieser Funktionen die behaupteten Aufgaben jedoch nicht aus. Stattdessen blendet das Skript nur gefälschte Fortschrittsmeldungen ein und pausiert jeweils zufällig zwischen 1,5 und 8 Sekunden, um legitim zu wirken. Die eigentliche schädliche Aktivität steckt in einer Funktion mit dem Namen „Advanced-Optimization“.
Diese Funktion deaktiviert zunächst die TLS-Zertifikatsprüfung und prüft, ob das Skript mit Administratorrechten läuft. Fehlen diese Rechte, meldet das Skript einen Fehler und beendet sich. Läuft es mit erhöhten Rechten, erstellt es das Verzeichnis „C:\Windows\Background“ und trägt diesen Pfad als Ausnahme in Microsoft Defender ein.
Anschließend versucht das Skript, eine vorhandene geplante Aufgabe mit dem Namen „XMRig-[Computername]“ zu stoppen. Außerdem beendet es passende Prozesse mit den Namen „xmrig“ oder „system“, sofern sie aus dem Installationsverzeichnis laufen. Ebenfalls versucht es, eine XMRig-Konfigurationsdatei unter „C:\Windows\Background\config.json“ zu löschen. Laut BleepingComputer ist unklar, ob diese Aufräumroutine Reste einer früheren Installation derselben Schadsoftware oder einen anderen bereits vorhandenen Miner entfernen soll.
Danach legt die Schadsoftware vorübergehend eine ausgehende Windows-Firewall-Regel an, die Verbindungen zu „msfconfig[.]icu“ über TCP-Port 443 erlaubt. Von „https://msfconfig[.]icu:443/tmp/system.txt“ lädt sie dann den XMRig-Miner in eine temporäre Datei mit zufälligem Namen. Vor der Installation prüft das Skript, ob die heruntergeladene Datei nicht leer ist und ob es sich um eine gültige ausführbare Datei handelt. Ist das der Fall, verschiebt es die Datei nach „C:\Windows\Background\system.exe“.
Damit der Miner bei jedem Windows-Start ausgeführt wird, erstellt das Skript eine neue geplante Aufgabe mit dem Namen „XMRig-[Computername]“. Diese startet die Datei „system.exe“ mit SYSTEM-Rechten.
BleepingComputer nennt mehrere Hinweise auf eine Kompromittierung: das Verzeichnis „C:\Windows\Background“, eine Microsoft-Defender-Ausnahme für diesen Pfad und eine geplante Aufgabe, deren Name mit „XMRig-“ beginnt. Wer den Befehl ausgeführt hat, sollte diese Spuren prüfen. Falls ein Antivirenprogramm den Miner nicht erkennt, empfiehlt der Bericht, die geplante Aufgabe „XMRig-[Computername]“ manuell zu stoppen und zu entfernen, die Defender-Ausnahme für „C:\Windows\Background“ zu löschen sowie den Ordner mitsamt Inhalt zu entfernen. Zudem könne es sicherer sein, das Betriebssystem neu zu installieren, da sich nicht feststellen lasse, ob die nachgeladene Nutzlast während ihrer Laufzeit weitere schädliche Aktionen ausgeführt hat.