Steam掲示板のPowerShellコマンドでマイニング被害｜XMRig感染の確認方法と安全な削除手順を解説【2026年版】
本記事にはアフィリエイト広告（Amazon・楽天市場等）のリンクが含まれています。
XMRig感染の確認方法と安全な削除手順を解説【2026年版】
出典：BleepingComputer「Steam forum ClickFix attacks infect gamers with XMRig cryptominers」、Microsoft Learn「Microsoft Defender オフライン」にもとづきます。記事内の情報は2026年8月5日時点のものです。
Steamコミュニティの掲示板で、ゲームのクラッシュやアイテム消失を直す方法に見せかけ、悪意のあるPowerShellコマンドを実行させる攻撃が確認されています。掲示板の回答者は、PowerShellを管理者として起動し、提示したコマンドを貼り付けるよう案内します。しかし、実際にはWindowsの最適化ではなく、仮想通貨マイニングソフトの「XMRig」がPCへダウンロードされる仕組みです。
感染すると、CPUやGPUの使用率が高くなるだけでなく、Microsoft Defenderの除外設定やタスクスケジューラが変更され、Windowsを再起動してもXMRigが自動的に立ち上がる可能性があります。
実行した覚えがある場合は、単に怪しいファイルを削除するだけでは不十分です。この記事では、感染を確認する場所、安全な削除手順、Windowsを再インストールした方がよいケースまで解説します。
目次
最初にすべきことPowerShellコマンドを実行した場合はすぐ確認する
Steam掲示板で案内されたコマンドをPowerShellへ貼り付けた場合は、PCに異常が見られなくても感染確認を行ってください。
今回確認された攻撃では、管理者権限を利用して「C:\Windows\Background」というフォルダを作成し、その中に「system.exe」という名前でXMRigの実行ファイルを保存します。さらに、Microsoft Defenderのスキャン対象からフォルダを除外し、「XMRig-コンピューター名」というタスクを登録してWindows起動時に実行します。
| 確認場所 | 今回報告された痕跡 |
|---|---|
| フォルダ | C:\Windows\Background |
| 実行ファイル | C:\Windows\Background\system.exe |
| 設定ファイル | C:\Windows\Background\config.json |
| タスクスケジューラ | XMRig-コンピューター名 |
| Microsoft Defenderの除外 | C:\Windows\Background |
| 通信先 | msfconfig[.]icu |
| 通信ポート | TCP 443 |
このうち一つでも該当すれば、今回のXMRig攻撃に感染している可能性が高くなります。ただし、フォルダやタスクが見つからなかったからといって、完全に安全とは限りません。掲示板へ投稿されるコマンドやダウンロード先の内容は後から変更できるため、コマンドを実行した事実があるならマルウェアスキャンまで実施してください。
攻撃の実態Steamそのものがハッキングされたわけではない
今回の攻撃は、SteamクライアントやSteamのゲームに脆弱性が見つかったという話ではありません。
攻撃者がSteamコミュニティで新しいアカウントを作成し、ゲームがクラッシュする、インベントリのアイテムが消えた、PCの調子が悪いといった質問へ、解決方法を装って返信していました。回答を信じた利用者自身にPowerShellコマンドを実行させる、ソーシャルエンジニアリング型の攻撃です。こうした手口は「ClickFix」と呼ばれ、偽のエラーや確認画面、トラブル解決手順を使って、利用者に悪意のあるコマンドを実行させます。
通常のファイルダウンロードでは、ブラウザやセキュリティソフトが危険なファイルを検知することがあります。しかし、利用者がPowerShellを管理者として開き、自分でコマンドを実行すると、保護機能をすり抜けやすくなります。ゲームの問題を質問した直後に回答が届くため、一般的な迷惑メールよりも信じてしまいやすい点が危険です。
偽装画面実行すると偽のWindows最適化画面が表示される
報告されたPowerShellスクリプトは、「msf utility \ PC Opt」というWindows最適化ツールを装っていました。
画面上では、一時ファイルの削除、DNSキャッシュの消去、ドライバーの更新、ディスクチェック、不要なスタートアップの停止、マルウェアスキャン、Windowsイメージの修復、システムファイルチェッカーの実行などが表示されます。しかし、これらの多くは実際には実行されておらず、1.5秒から8秒のランダムな待ち時間と偽の進捗メッセージによって、正常な最適化ツールに見せかけていました。
画面上に「ドライバーを更新しました」「不要ファイルを削除しました」などと表示されても、安全な処理が完了した証拠にはなりません。特に、Steam掲示板の回答者から管理者権限でPowerShellを開くよう要求され、その後に黒や青の画面で最適化処理が進んだ場合は注意が必要です。
用語解説XMRigとは何か
XMRigは、RandomX、KawPow、CryptoNightなどに対応する、オープンソースの仮想通貨マイニングソフトです。Windows、Linux、macOS、FreeBSDに対応し、CPUのほか、AMD GPU用のOpenCLやNVIDIA GPU用のCUDAプラグインも利用できます。
XMRig自体は正規のソフトウェアであり、所有者が自分のPCで同意のうえ使用することまで違法なわけではありません。問題は、攻撃者が所有者の許可なくXMRigをインストールし、PCの処理能力と電力を仮想通貨マイニングへ利用することです。このような攻撃はクリプトジャッキングとも呼ばれます。第三者のためにCPUやGPUが使われるため、ゲームのフレームレート低下、動作のカクつき、ファン回転数の上昇、温度上昇、消費電力の増加につながる可能性があります。
デスクトップ画面を表示しているだけなのにCPUファンが高速回転する、ゲームを起動していないのにPCケースから熱風が出る、以前よりゲームのfpsが低いといった症状が考えられます。ただし、CPU使用率や温度が高いだけでXMRig感染と断定することはできません。Windows Update、ゲームランチャーのアップデート、シェーダーコンパイル、ウイルススキャンなどでも一時的に負荷が上がります。症状だけで判断せず、C:\Windows\Background、XMRig-から始まるタスク、Microsoft Defenderの除外設定を組み合わせて確認することが重要です。
初動対応PowerShellコマンドを実行した直後に行うこと
感染が疑われる場合は、まずWi-Fiをオフにするか、LANケーブルを抜いてインターネット接続を切ります。今回のスクリプトは、外部サーバーからXMRigの実行ファイルをダウンロードし、TCPポート443を使って通信する仕組みでした。ネットワークを切断することで、追加ファイルのダウンロードや外部との通信を一時的に止められる可能性があります。PCの電源を切るだけでは解決しません。タスクスケジューラへ自動起動が登録されているため、Windowsを再起動すると再びsystem.exeが立ち上がる可能性があります。
マルウェアが残っている状態では、感染が疑われるPCからSteamやメールへログインしない方が安全です。パスワードを変更する場合は、スマートフォンや別の安全なPCを使用します。オンラインバンキング、クレジットカード、暗号資産ウォレット、仕事用アカウントなどを感染後に利用した場合も、別の安全な端末から利用履歴やログイン履歴を確認してください。
3点セットフォルダ・タスク・プロセスを確認する
エクスプローラーのアドレスバーへ「C:\Windows\Background」と入力します。フォルダが存在し、中に「system.exe」や「config.json」が保存されている場合は、今回報告されたXMRig攻撃の痕跡と一致します。system.exeをダブルクリックしてはいけません。今回使われたsystem.exeはWindowsの「System」プロセスとは別物です。Windows標準のSystemプロセスは、タスクマネージャーで通常PID 4として表示されます。確認すべきなのは、「C:\Windows\Background\system.exe」という場所から起動している実行ファイルです。
続いてタスクスケジューラを確認します。Windowsの検索欄へ「タスク スケジューラ」と入力して起動し、左側の「タスク スケジューラ ライブラリ」から「XMRig-」で始まるタスクを探してください。今回の攻撃では、PC名が「GamingPC」なら「XMRig-GamingPC」のような名前で登録され、Windows起動時にC:\Windows\Background\system.exeをSYSTEM権限で実行するよう設定されていました。該当するタスクを選択したら、「操作」タブで実行されるプログラムのパスを確認します。「XMRig」という文字だけを基準に、ほかのタスクを無差別に削除しないでください。自分で仮想通貨マイニング環境を構築している場合は、正規のタスクである可能性もあります。
「Ctrl」「Shift」「Esc」でタスクマネージャーを開き、「詳細」タブでsystem.exeまたはxmrig.exeを探します。該当するプロセスがあれば右クリックして「ファイルの場所を開く」を選び、保存場所が「C:\Windows\Background」と一致するか確認してください。ただし、「System」と表示されているWindows標準プロセスは終了しないでください。確認するのはファイル名と保存場所です。
フォルダが見つかっても、最初から手動で削除するのではなく、タスクスケジューラとMicrosoft Defenderの除外設定も確認します。自動起動が残っていると、別の場所からファイルが再作成される可能性があるためです。
保護の穴Microsoft Defenderの除外設定を確認する
今回のスクリプトは、C:\Windows\BackgroundをMicrosoft Defenderの除外対象へ追加します。除外されたフォルダはDefenderのリアルタイムスキャン対象から外れるため、フォルダ内にマルウェアが保存されても検知されにくくなります。Microsoftも、除外設定は保護機能に穴を作り、デバイスやデータを危険にさらす可能性があると説明しています。
Windowsセキュリティを開き、「ウイルスと脅威の防止」から「設定の管理」へ進みます。画面下部にある「除外」の「除外の追加または削除」を開き、「C:\Windows\Background」が登録されていないか確認してください。自分で登録した覚えがないのにこのパスが存在する場合は、除外項目を選択して「削除」を押します。除外を解除しなければ、あとでフルスキャンを実行してもリアルタイム保護が正常に働かない可能性があります。「リアルタイム保護」「クラウド提供の保護」「改ざん防止」がオフになっている場合も、オンへ戻します。
対処ステップXMRigを削除する手順
Windowsセキュリティから「C:\Windows\Background」の除外設定を削除します。除外を残したままでは、Defenderがsystem.exeを正常に検査できない可能性があります。除外設定を削除できない、Windowsセキュリティが勝手に閉じる、設定がすぐ元へ戻る場合は、マルウェアが保護機能へ干渉している可能性があります。手動削除だけで済ませず、Microsoft Defenderオフラインスキャンまたはクリーンインストールを検討してください。
タスクスケジューラで「XMRig-コンピューター名」を右クリックし、最初に「終了」を選びます。続いて、同じタスクを右クリックして「削除」を選択します。タスクを削除する前に、操作欄の実行先が「C:\Windows\Background\system.exe」であることを確認してください。タスクを削除しても、すでに起動しているsystem.exeが自動的に終了するとは限りません。
タスクマネージャーで、C:\Windows\Backgroundから起動しているsystem.exeを右クリックし、「タスクの終了」を選びます。必ずファイルの保存場所を確認してから終了してください。Windows標準のSystemプロセスや、ほかの正規ソフトのsystem.exeを誤って終了しないよう注意が必要です。終了できない場合は、セーフモードでの起動またはMicrosoft Defenderオフラインスキャンを使用します。
タスクとプロセスを停止したあと、C:\Windows\Backgroundフォルダを削除し、ごみ箱も空にします。ただし、フォルダを削除できたことは、PCが完全に安全になったことを意味しません。PowerShellスクリプトは管理者権限で実行されており、報告されたsystem.exe以外の設定やファイルが追加されている可能性を否定できないためです。
スキャンフルスキャンとオフラインスキャンを実行する
Windowsセキュリティを開き、「ウイルスと脅威の防止」「スキャンのオプション」の順に進み、「フルスキャン」を選択してPC内のすべてのファイルと実行中のプログラムを検査します。検出された項目は、基本的に「削除」または「隔離」を選択してください。自分で許可した覚えのない脅威が「許可された脅威」に登録されている場合は、「許可しない」へ変更します。スキャン完了後は「保護の履歴」を開き、検出されたファイル名、保存場所、実行された処理を確認します。
通常のフルスキャンだけでなく、Microsoft Defenderオフラインスキャンも実行してください。オフラインスキャンはWindowsを再起動し、通常のWindows環境を読み込む前に検査します。常駐型マルウェアが自身を隠したり、削除を妨害したりすることが難しくなるため、感染が疑われる場合に有効です。「ウイルスと脅威の防止」の「スキャンのオプション」から「Microsoft Defender Antivirusオフラインスキャン」を選択してください。「今すぐスキャン」を押すとPCが再起動するため、作業中のファイルは事前に保存しておきます。
Defenderで何も検出されなかった場合でも、不安が残るならMicrosoft Safety Scannerを使用して再確認できます。Windows PCからマルウェアを検出・削除する手動実行型のツールで、リアルタイム保護の代わりにはなりませんが、追加確認として利用できます。Safety Scannerはダウンロードから10日後に期限切れになるため、以前ダウンロードしたファイルを使い回さず、Microsoft公式サイトから最新版を入手してください。感染が疑われるPCをインターネットへ接続したくない場合は、別の安全なPCでダウンロードし、USBメモリなどを使って移動します。使用したUSBメモリも、作業後にマルウェアスキャンしてください。
確実な対応重視するならWindowsをクリーンインストールする
今回のPowerShellコマンドを管理者として実行し、C:\Windows\BackgroundやXMRigタスクが確認された場合は、Windowsのクリーンインストールが最も安全寄りの対応です。
報告されたファイルやタスクを削除しても、ダウンロードされたプログラムがほかの悪意ある処理を行っていないことまでは確認できません。BleepingComputerも、追加の悪意ある動作を把握する方法がないため、OSの再インストールが安全な選択になる可能性を指摘しています。Microsoftの回復ガイドでも、デバイスが感染した疑いがある場合は、インストールメディアを使用したWindowsの再インストールが案内されています。インストールメディアによる再インストールは、PCのリセットよりも徹底した方法で、通常はファイル、アプリ、設定を削除します。
重要な写真や文書をバックアップする場合は、実行ファイル、スクリプト、圧縮ファイル、出所不明のインストーラーをコピーしないようにします。バックアップしたデータは、新しいWindowsへ戻す前に再度スキャンしてください。仕事用データ、オンラインバンキング、クレジットカード情報、暗号資産ウォレット、ブラウザ保存パスワードを扱っていたPCでは、手動削除よりクリーンインストールを優先するのが安全です。再インストール後にネットワークやオーディオが動かない場合はWindows 11再インストール後にネットにつながらない・音が出ない原因も参考にしてください。
アカウント対策Steamとメールのパスワードも変更する
PCのスキャンまたはWindowsの再インストールが完了したら、Steamアカウントのセキュリティも確認します。Steamの「承認済みデバイス」を確認し、見覚えのない端末があれば「すべての場所からサインアウト」を実行します。その後、Steamのパスワードを、ほかのサービスで使っていない新しいものへ変更してください。
Steam公式は、アカウント侵害が疑われる場合に、承認済みデバイスの確認、パスワードの変更、関連メールアカウントの確認、システムのマルウェアスキャンを推奨しています。Steamと同じパスワードをメールやほかのサービスでも使用していた場合は、それらも変更します。Steam Guardモバイル認証を有効にしていない場合は、二要素認証を設定してください。すでに有効な場合でも、見覚えのないログインやトレード、マーケット取引、購入履歴がないか確認します。
誤解の整理PowerShell自体が危険なわけではない
PowerShellは、Windowsの管理や自動化に使われるMicrosoftの正規ツールです。PowerShellを起動しただけで感染するわけではありません。危険なのは、内容を確認できないコマンドを、信頼できない第三者の指示どおりに実行することです。
特に、管理者として実行するよう求める、セキュリティソフトを一時的に無効にするよう求める、長い文字列や読めない文字列が含まれる、外部サイトから内容を取得してそのまま実行する、すぐ直るので説明は不要と強調するといった指示には注意が必要です。コマンドの意味が分からない場合は実行せず、ゲーム開発元の公式サポート、Steamサポート、Microsoft公式情報などで同じ手順が案内されているか確認してください。
遭遇時の対応Steam掲示板で怪しい回答を見つけた場合
怪しいPowerShellコマンドが投稿されていても、検証目的で実行してはいけません。投稿者のSteamレベルが高い、所有ゲーム数が多い、プロフィールが長期間使われているといった情報だけでは安全性を判断できません。既存アカウントが乗っ取られて悪用される可能性もあります。
投稿の報告機能を使ってSteamへ知らせ、質問者にも実行しないよう注意を促します。その際も、悪意のあるコマンドをコピーして再投稿しないことが重要です。スクリーンショットを保存する場合は、危険なURLやコマンドをほかの人が誤ってコピーできないよう、一部を伏せて共有してください。Steam Workshop経由でマルウェアが混入した過去の事例は『めっちゃカメレオン』のSteam Workshop製MODマップにマルウェア混入でも解説しています。
FAQよくある質問
総括まとめ｜削除だけでなく全体の安全確認まで行う
Steam掲示板で案内されたPowerShellコマンドから、XMRigをインストールするClickFix攻撃が確認されています。今回報告された攻撃では、C:\Windows\Backgroundにsystem.exeを保存し、フォルダをMicrosoft Defenderの除外対象へ追加します。さらに「XMRig-コンピューター名」というタスクを登録し、Windows起動時にSYSTEM権限でマイニングソフトを実行します。
コマンドを実行した場合は、インターネット接続を切り、フォルダ、タスクスケジューラ、Defenderの除外設定を確認してください。その後、フルスキャンとMicrosoft Defenderオフラインスキャンを実行します。ただし、ファイルとタスクを削除しても、管理者権限で実行されたプログラムの動作をすべて把握できるわけではありません。侵害の痕跡が見つかったPCや、重要なアカウントを利用していたPCでは、Windowsのクリーンインストールが最も安全寄りの対応です。
PowerShellは便利なWindows管理ツールですが、掲示板やSNSに掲載された内容不明のコマンドを管理者として実行してはいけません。ゲームのトラブルを解決するときは、開発元、Steam、Microsoftなどの公式情報を優先してください。
あわせて読みたい
※価格は2026年8月時点の目安・変動あり
※価格は2026年8月時点の目安・変動あり
