Meccha-Chameleon-Sicherheitskrise: Workshop-Karten als Malware-Schleusen und der folgende Discord-Hack

Wie die Malware über Custom Maps verbreitet wurde

Die Krise begann am 24. Juli 2026, als der Sicherheitsforscher Feint (FeintBE) eine detaillierte Analyse auf Reddit veröffentlichte . Er hatte entdeckt, dass zwei benutzerdefinierte Karten im Steam Workshop – „Laser Tag Neon“ (Workshop-ID 3765145606) und „Chroma Grid Arena“ – versteckte bösartige Skripte enthielten, die in das Blueprint-Skriptsystem des Spiels eingebettet waren .

Wenn ein Spieler eine dieser Karten lud, aktivierte sich das Blueprint automatisch und öffnete kurz ein Eingabeaufforderungsfenster. Was dann geschah, war eine vollständige Malware-Lieferkette :

• Das Blueprint schrieb eine Batch-Datei (s.bat) in den Dokumente-Ordner des Benutzers .
• Diese Batch-Datei startete einen versteckten PowerShell-Prozess mit umgangener Ausführungsrichtlinie .
• PowerShell kontaktierte einen externen Server (gehostet in den Niederlanden), um eine zweite Schadsoftware herunterzuladen. Der Server gab jedoch einen 404-Fehler zurück, was bedeutet, dass die eigentliche Schadsoftware letztlich nicht ausgeliefert wurde .
• Die Malware war in der Lage, private Dateien auszulesen, sie auf einen entfernten Server hochzuladen und potenziell Ransomware auszuführen oder Daten zu löschen .

Die kompromittierten Karten wurden später unter alternativen Namen wie „Neon Void Arena“ erneut hochgeladen . Laut Feints Analyse hatte die bösartige Karte den Überprüfungsprozess des Steam Workshops unbemerkt passiert .

Wichtig: Die ausführbaren Dateien des Spiels selbst waren nie infiziert. Der Exploit war auf benutzerdefinierte Workshop-Inhalte beschränkt .

Der Discord-Server-Hack: Eine Kettenreaktion

Am 25. Juli, dem Tag, an dem LEMORION Patch 3.2.0 zur Behebung des Workshop-Exploits veröffentlichte, wurde der offizielle Discord-Server des Spiels gehackt .

Der Angreifer erlangte Zugriff über einen Admin-Backup-PC und umging dabei die 2FA-Sicherheit . Laut Berichten aus der Steam-Community könnte die Sicherheitsverletzung dadurch verursacht worden sein, dass ein Entwickler oder Serverbesitzer die infizierte Workshop-Karte heruntergeladen hatte, wodurch versehentlich Admin-Anmeldedaten preisgegeben wurden .

Einmal im Inneren, löschte der Hacker :

• Die Kanalstruktur des Servers
• Er bannte legitime Mitarbeiter
• Er postete bizarre, bedrohliche Nachrichten und gefälschte Virenwarnungen – einschließlich falscher Behauptungen, dass das Spiel-Update einen Remote Access Trojan (RAT) enthalte
• Er spammte bösartige Links in die Community

Die Reaktion von Entwickler LEMORION

Entwickler LEMORION handelte schnell, um den Schaden auf drei Fronten einzudämmen:

1. Patch 3.2.0 (25. Juli): Schloss den Blueprint-basierten Exploit, der es Custom Maps ermöglichte, beliebige Systembefehle auszuführen .
2. Entfernung der Inhalte: Die beiden bekannten bösartigen Karten wurden markiert und aus dem Steam Workshop entfernt .
3. Öffentliche Kommunikation: LEMORION bestätigte, dass die Spieldateien nie kompromittiert wurden, bezeichnete die RAT-Behauptungen als „zu 100 % falsch“ und forderte die Spieler auf, keine Links im kompromittierten Discord anzuklicken . Der Entwickler löschte außerdem den infizierten Admin-PC und kontaktierte den Discord-Support, um die Kontrolle über den Server zurückzugewinnen .

Reaktionen der Steam-Community

Die Meccha-Chameleon-Community reagierte mit Alarm und Frustration. In den Steam-Foren und auf Reddit drückten Spieler ihren Schock darüber aus, dass Custom Maps – und nicht ausführbare Dateien – Malware einschleusen konnten, was die lang gehegte Annahme in Frage stellte, Workshop-Inhalte seien sicher .

Zu den wichtigsten Reaktionen der Community gehörten :

• Spieler, die nach dem Spielen der verdächtigen Karten Infektionen meldeten und zur Bestätigung Virenscans durchführten
• Warnungen, keine Meccha-Chameleon-Workshop-Karten herunterzuladen, bis die Situation geklärt sei
• Kritik an Valve, keine stärkeren Sicherheitsvorkehrungen für die Inhaltsprüfung im Workshop zu haben

Breitere Sicherheitsimplikationen für das Steam-Workshop-Ökosystem

Der Meccha-Chameleon-Vorfall hat eine grundlegende Sicherheitslücke offengelegt, die weit über ein einzelnes Spiel hinausgeht:

• Code-Ausführung auf Blueprint-Ebene: Die Tatsache, dass das eigene Skriptsystem eines Spiels dazu verwendet werden kann, beliebige Systembefehle auszuführen, bedeutet, dass das Risiko für jedes Steam-Spiel gilt, das benutzergenerierte Skripte ohne Sandboxing zulässt .
• Vertrauen untergraben: Der Steam Workshop wurde lange als halboffizieller, kuratierter Raum angesehen. Dieser Angriff zeigte, dass böswillige Akteure scheinbar legitime Inhalte veröffentlichen können, die Valves Moderation umgehen .
• Eine formelle Cybersicherheitswarnung wurde über Govly herausgegeben, in der festgestellt wurde, dass die Valve Corporation nun einem glaubwürdigen Workshop-Malware-Risiko ausgesetzt ist, das bisher wenig öffentliche Aufmerksamkeit erhalten hatte .
• Empfohlene Gegenmaßnahmen umfassen das Scannen von Workshop-Uploads auf eingebettete Systembefehlsausführung, das Sandboxing von Blueprint-/VScript-Umgebungen und die Aufklärung der Spieler, Workshop-Inhalte mit der gleichen Vorsicht zu behandeln wie Downloads von Drittanbietern .

Fazit

Die Meccha-Chameleon-Vorfälle vom Juli 2026 zeigen, dass Steam-Workshop-Inhalte als brauchbarer Vektor für die Verbreitung von Malware dienen können, selbst wenn das Spiel selbst sicher ist. Obwohl der Entwickler schnell handelte, um den Exploit zu patchen, legte der Discord-Hack die kaskadierenden Folgen eines einzigen infizierten Systems offen.

Spieler, die „Laser Tag Neon“ oder „Chroma Grid Arena“ nach dem 15. Juli gespielt haben, wird empfohlen, ihren Dokumente-Ordner auf eine Datei namens s.bat zu überprüfen und einen vollständigen Virenscan durchzuführen . Bis der offizielle Discord-Server vollständig wiederhergestellt ist, sollten Sie vermeiden, dort gepostete Links anzuklicken.