Meccha Chameleon-malware: Steam Workshop-kort inficerede spillere og førte til Discord-hack

I slutningen af juli 2026 blev det virale indie-skjul-og-gem-spil Meccha Chameleon ramt af en sjælden og alvorlig sikkerhedskrise. Krisen udspillede sig i to faser: Først spredtes en malware-kampagne via brugerlavede kort på Steam Workshop, og få timer senere blev spillets officielle Discord-server – med over 100.000 medlemmer – kompromitteret . Udvikleren, LEMORION, måtte i en fart lappe spillet, fjerne inficeret indhold og forsøge at genvinde kontrollen over sit community-hub.

Det var dog ikke en fejl i spillets egne eksekverbare filer. Det var en Workshop-side-sårbarhed – en, der afslørede en bredere trussel mod hele Steam Workshop-økosystemet .

Sådan spredte malwaren sig via brugerlavede kort

Krisen begyndte den 24. juli 2026, da sikkerhedsforskeren Feint (FeintBE) offentliggjorde en detaljeret analyse på Reddit . Han havde opdaget, at to brugerlavede kort på Steam Workshop – "Laser Tag Neon" (Workshop-ID 3765145606) og "Chroma Grid Arena" – indeholdt skjulte ondsindede scripts, der var indlejret i spillets Blueprint-scriptsprog .

Når en spiller loadede et af disse kort, aktiveredes Blueprinten automatisk og viste kortvarigt et kommandoprompt-vindue. Det, der derefter skete, var en fuld malware-leveringskæde :

• Blueprinten skrev en batch-fil (s.bat) ind i brugerens Dokumenter-mappe .
• Denne batch-fil startede en skjult PowerShell-proces med omgået eksekveringspolitik .
• PowerShell kontaktede en ekstern server (hostet i Holland) for at downloade en anden-parts nyttelast, men serveren returnerede en 404-fejl, hvilket betyder, at nyttelasten ikke blev leveret .
• Malwaren havde kapacitet til at læse private filer, uploade dem til en fjernserver og potentielt udføre ransomware eller slette data .

De kompromitterede kort blev senere genuploadet under alternative navne som "Neon Void Arena" . Ifølge Feints analyse var det ondsindede kort passeret gennem Steams Workshop-gennemgangsproces uopdaget .

Vigtigt: Spillets egne eksekverbare filer var aldrig inficerede. Exploitten var isoleret til Workshop-brugerindhold .

Discord-server-hacket: En kædereaktion

Den 25. juli, samme dag som LEMORION udsendte Patch 3.2.0 for at rette Workshop-exploitten, blev spillets officielle Discord-server hacket .

Angriberen fik adgang via en administrators backup-pc, hvilket omgik 2FA-sikkerheden . Ifølge Steam-communityrapporter kan bruddet være forårsaget af, at en udvikler eller serverejer downloadede det inficerede Workshop-kort, hvilket utilsigtet blottede admin-legitimationsoplysninger .

Da hackeren først var inde, gjorde vedkommende følgende :

• Slettede serverens kanalstruktur
• Banlyste legitime medarbejdere
• Postede bizarre, truende beskeder og falske virusadvarsler – herunder falske påstande om, at spilopdateringen indeholdt en Remote Access Trojan (RAT)
• Spammede ondsindede links rettet mod community'et

Udvikler LEMORIONs svar

Udvikler LEMORION handlede hurtigt for at begrænse skaden på tre fronter:

1. Patch 3.2.0 (25. juli): Lukkede den Blueprint-baserede exploit, der tillod brugerlavede kort at udføre vilkårlige systemkommandoer .
2. Fjernelse af indhold: De to kendte ondsindede kort blev markeret og fjernet fra Steam Workshop .
3. Offentlig kommunikation: LEMORION bekræftede, at spilfilerne aldrig var kompromitterede, kaldte RAT-påstandene "100% falske" og opfordrede spillere til ikke at klikke på links i det kompromitterede Discord . Udvikleren slettede også den inficerede admin-pc og kontaktede Discord-support for at genvinde kontrollen over serveren .

Steam-community-reaktioner

Meccha Chameleon-community'et reagerede med alarm og frustration. På Steam-fora og Reddit udtrykte spillere chok over, at brugerlavede kort – og ikke eksekverbare filer – kunne levere malware, hvilket udfordrede den længe nærede antagelse om, at Workshop-indhold er sikkert .

Centrale community-svar inkluderede :

• Spillere rapporterede infektioner efter at have spillet de mistænkelige kort og bekræftede dette via virusskanninger
• Advarsler om ikke at downloade nogen Meccha Chameleon-Workshop-kort, før situationen var løst
• Kritik af Valve for ikke at have stærkere indholdssikringsmekanismer på Workshop

Bredere sikkerhedsmæssige implikationer for Steam Workshop-økosystemet

Meccha Chameleon-hændelsen fremhævede et fundamentalt sikkerhedshul, der rækker langt ud over et enkelt spil:

• Kodeeksekvering på Blueprint-niveau: At et spils eget scriptsprog kunne omdannes til at køre vilkårlige systemkommandoer betyder, at risikoen gælder for ethvert Steam-spil, der tillader brugergenererede scripts uden sandboxing .
• Tilliden undermineres: Steam Workshop har længe været betragtet som et semi-officielt, kurateret rum. Dette angreb viste, at ondsindede aktører kan udgive tilsyneladende legitimt indhold, der omgår Valves moderation .
• En formel cybersikkerhedsadvarsel blev udstedt via Govly, som noterede, at Valve Corporation nu står over for en troværdig Workshop-malware-risiko, som hidtil har fået begrænset offentlig opmærksomhed .
• Anbefalede afbødende foranstaltninger inkluderer scanning af Workshop-uploads for indlejret systemkommandoeksekvering, sandboxing af Blueprint/VScript-miljøer og at uddanne spillere til at behandle Workshop-indhold med samme forsigtighed som tredjepartsdownloads .

Bottom Line

Meccha Chameleon-hændelserne i juli 2026 demonstrerer, at Steam Workshop-indhold kan fungere som en levedygtig malware-leveringsvektor, selv når selve spillet er sikkert. Mens udvikleren handlede hurtigt for at lappe exploitten, afslørede Discord-hacket de kaskaderende konsekvenser af et enkelt inficeret system.

Spillere, der spillede "Laser Tag Neon" eller "Chroma Grid Arena" efter den 15. juli, rådes til at tjekke deres Dokumenter-mappe for en fil ved navn s.bat og køre en fuld antivirus-scanning . Indtil den officielle Discord-server er fuldt genoprettet, bør du undgå at klikke på links, der postes der.