Krize malwaru Meccha Chameleon: Jak mapy ze Steam Workshopu infikovaly hráče a vedly k hacknutí Discord serveru

Incident nebyl selháním samotných spustitelných souborů hry. Byla to zranitelnost na straně Workshopu – taková, která odhalila širší hrozbu pro celý ekosystém Steam Workshopu .

Jak se malware šířil skrze vlastní mapy

Krize začala 24. července 2026, kdy bezpečnostní výzkumník Feint (FeintBE) zveřejnil podrobnou analýzu na Redditu . Zjistil, že dvě vlastní mapy na Steam Workshopu – „Laser Tag Neon“ (ID Workshopu 3765145606) a „Chroma Grid Arena“ – obsahovaly skryté škodlivé skripty vložené do herního skriptovacího systému Blueprint .

Když hráč jednu z těchto map načetl, Blueprint se automaticky aktivoval a na krátký okamžik zobrazil příkazový řádek. Následoval plný řetězec doručení malwaru :

• Blueprint zapsal dávkový soubor (s.bat) do složky Documents uživatele .
• Tento dávkový soubor spustil skrytý proces PowerShellu s obcházením zásad spouštění .
• PowerShell kontaktoval externí server (hostovaný v Nizozemsku), aby stáhl užitečné zatížení druhé fáze, ale server vrátil chybu 404, což znamená, že užitečné zatížení nebylo nakonec doručeno .
• Malware byl schopen číst soukromé soubory, nahrávat je na vzdálený server a potenciálně spouštět ransomware nebo mazat data .

Ohrožené mapy byly později znovu nahrány pod alternativními názvy, jako je „Neon Void Arena“ . Podle Feintovy analýzy mapa prošla procesem kontroly Steam Workshopu bez povšimnutí .

Důležité: Samotné spustitelné soubory hry nebyly nikdy infikovány. Zneužití bylo izolováno na vlastní obsah Workshopu .

Hacknutí Discord serveru: Řetězová reakce

25. července, ve stejný den, kdy LEMORION vydal Patch 3.2.0 k opravě zranitelnosti Workshopu, byl napaden oficiální Discord server hry .

Útočník získal přístup skrze adminův záložní počítač, čímž obešel dvoufaktorové ověření (2FA) . Podle zpráv ze Steam komunity mohlo být narušení způsobeno tím, že si vývojář nebo vlastník serveru stáhl infikovanou mapu z Workshopu a neúmyslně tak odhalil admin přihlašovací údaje .

Jakmile se hacker dostal dovnitř :

• Smazal strukturu kanálů serveru
• Zabanoval legitimní členy personálu
• Zveřejnil bizarní, výhružné zprávy a falešná varování o virech – včetně nepravdivých tvrzení, že herní aktualizace obsahuje Remote Access Trojan (RAT)
• Rozeslal spam s škodlivými odkazy zaměřenými na komunitu

Reakce vývojáře LEMORIONu

Vývojář LEMORION jednal rychle, aby omezil škody na třech frontách:

1. Patch 3.2.0 (25. července): Uzavřel zneužití založené na Blueprintech, které umožňovalo vlastním mapám spouštět libovolné systémové příkazy .
2. Odstranění obsahu: Dvě známé škodlivé mapy byly označeny a odstraněny ze Steam Workshopu .
3. Veřejná komunikace: LEMORION potvrdil, že herní soubory nebyly nikdy ohroženy, označil tvrzení o RAT za „100% nepravdivá“ a naléhal na hráče, aby neklikali na žádné odkazy v napadeném Discordu . Vývojář také vyčistil infikovaný admin počítač a obrátil se na podporu Discordu, aby znovu získal kontrolu nad serverem .

Reakce komunity Steamu

Komunita Meccha Chameleon reagovala s poplachem a frustrací. Na fórech Steamu a Redditu hráči vyjadřovali šok nad tím, že vlastní mapy – nikoli spustitelné soubory – mohou doručovat malware, což zpochybnilo dlouholetý předpoklad, že obsah Workshopu je bezpečný .

Klíčové reakce komunity zahrnovaly :

• Hráči hlásící infekce po hraní podezřelých map a spouštějící antivirové skeny pro potvrzení
• Varování nestahovat žádné mapy Meccha Chameleon z Workshopu, dokud nebude situace vyřešena
• Kritiku Valve za nedostatečné bezpečnostní záruky při kontrole obsahu na Workshopu

Širší bezpečnostní důsledky pro ekosystém Steam Workshopu

Incident s Meccha Chameleon poukázal na zásadní bezpečnostní mezeru, která sahá daleko za jednu konkrétní hru:

• Spouštění kódu na úrovni Blueprintu: Skutečnost, že vlastní herní skriptovací systém může být zneužit ke spouštění libovolných systémových příkazů, znamená, že riziko se vztahuje na jakoukoli hru na Steamu, která umožňuje uživatelské skripty bez sandboxingu .
• Narušená důvěra: Steam Workshop byl dlouho považován za polooficiální, kurátorský prostor. Tento útok ukázal, že škodliví aktéři mohou publikovat zdánlivě legitimní obsah, který obejde moderování Valve .
• Formální bezpečnostní varování bylo vydáno prostřednictvím Govly, které uvádí, že Valve Corporation nyní čelí věrohodnému riziku malwaru na Workshopu, které se dosud dočkalo jen malé veřejné pozornosti .
• Doporučená opatření zahrnují skenování nahraného obsahu Workshopu na vložené spouštění systémových příkazů, sandboxing prostředí Blueprint/VScript a vzdělávání hráčů, aby zacházeli s obsahem Workshopu se stejnou opatrností jako s downloady třetích stran .

Shrnutí

Incidenty kolem Meccha Chameleon z července 2026 ukazují, že obsah Steam Workshopu může sloužit jako životaschopný vektor pro doručení malwaru, i když je samotná hra zabezpečená. Zatímco vývojář jednal rychle a zranitelnost opravil, hacknutí Discordu odhalilo kaskádové důsledky jediného infikovaného systému.

Hráči, kteří hráli „Laser Tag Neon“ nebo „Chroma Grid Arena“ po 15. červenci, by měli zkontrolovat svou složku Documents, zda neobsahuje soubor s názvem s.bat, a spustit plnou antivirovou kontrolu . Dokud nebude oficiální Discord server plně obnoven, vyhněte se klikání na jakékoli odkazy tam zveřejněné.