Crisis de malware en Meccha Chameleon: mapas del Steam Workshop infectaron jugadores y llevaron al hackeo del servidor de Discord

Cómo se propagó el malware a través de mapas personalizados

La crisis comenzó el 24 de julio de 2026, cuando el investigador de seguridad Feint (FeintBE) publicó un análisis detallado en Reddit . Descubrió que dos mapas personalizados en el Steam Workshop — "Laser Tag Neon" (ID de Workshop 3765145606) y "Chroma Grid Arena" — contenían scripts maliciosos ocultos dentro del sistema de scripting Blueprint del juego .

Cuando un jugador cargaba uno de estos mapas, el Blueprint se activaba automáticamente y mostraba brevemente una ventana de símbolo del sistema (cmd). Lo que sucedía a continuación era una cadena completa de entrega de malware :

• El Blueprint escribía un archivo batch (s.bat) en la carpeta Documentos del usuario .
• Ese archivo batch lanzaba un proceso oculto de PowerShell con la política de ejecución desactivada .
• PowerShell se conectaba a un servidor externo (alojado en los Países Bajos) para descargar una segunda etapa del código malicioso, aunque el servidor respondía con un error 404, lo que significa que la carga final no llegó a ejecutarse .
• El malware tenía la capacidad de leer archivos privados, subirlos a un servidor remoto y potencialmente ejecutar ransomware o eliminar datos .

Los mapas comprometidos fueron posteriormente subidos de nuevo bajo nombres alternativos como "Neon Void Arena" . Según el análisis de Feint, el mapa malicioso había pasado desapercibido durante el proceso de revisión del Workshop de Steam .

Importante: Los archivos ejecutables del juego nunca estuvieron infectados. La vulnerabilidad se limitó al contenido personalizado del Workshop .

El hackeo del servidor de Discord: una reacción en cadena

El 25 de julio, el mismo día en que LEMORION lanzó el Parche 3.2.0 para solucionar la vulnerabilidad del Workshop, el servidor oficial de Discord del juego fue hackeado .

El atacante obtuvo acceso a través de un PC de respaldo de un administrador, sorteando la seguridad de la autenticación de dos factores (2FA) . Según informes de la comunidad de Steam, la brecha podría haber sido causada porque un desarrollador o el dueño del servidor descargó el mapa infectado del Workshop, exponiendo sin querer las credenciales de administrador .

Una vez dentro, el hacker :

• Eliminó la estructura de canales del servidor
• Bloqueó a miembros legítimos del equipo administrativo
• Publicó mensajes extraños y amenazantes, incluyendo falsas advertencias de virus —afirmando falsamente que la actualización del juego contenía un troyano de acceso remoto (RAT)—
• Inundó la comunidad con enlaces maliciosos

Respuesta del desarrollador LEMORION

El desarrollador LEMORION actuó con rapidez para contener los daños en tres frentes:

1. Parche 3.2.0 (25 de julio): cerró la vulnerabilidad basada en Blueprint que permitía a los mapas personalizados ejecutar comandos arbitrarios en el sistema .
2. Eliminación de contenido: los dos mapas maliciosos conocidos fueron marcados y eliminados del Steam Workshop .
3. Comunicación pública: LEMORION confirmó que los archivos del juego nunca estuvieron comprometidos, calificó las afirmaciones sobre el RAT como "100% falsas" e instó a los jugadores a no hacer clic en ningún enlace del Discord comprometido . El desarrollador también formateó el PC infectado del administrador y se puso en contacto con el soporte de Discord para recuperar el control del servidor .

Reacciones de la comunidad de Steam

La comunidad de Meccha Chameleon reaccionó con alarma y frustración. En los foros de Steam y Reddit, los jugadores expresaron su sorpresa de que mapas personalizados — y no los ejecutables habituales — pudieran distribuir malware, desafiando la creencia generalizada de que el contenido del Workshop es seguro .

Las respuestas clave de la comunidad incluyeron :

• Jugadores reportando infecciones después de jugar en los mapas sospechosos y confirmándolas con análisis de antivirus
• Advertencias para no descargar ningún mapa de Meccha Chameleon del Workshop hasta que la situación se resolviera
• Críticas a Valve por no tener medidas de seguridad más sólidas en la revisión de contenido del Workshop

Implicaciones de seguridad más amplias para el ecosistema del Steam Workshop

El incidente de Meccha Chameleon puso de manifiesto una brecha de seguridad fundamental que va mucho más allá de un solo juego:

• Ejecución de código a nivel de Blueprint: El hecho de que el propio sistema de scripting de un juego pueda ser utilizado como arma para ejecutar comandos arbitrarios del sistema significa que el riesgo se aplica a cualquier juego de Steam que permita scripts generados por usuarios sin un 'sandboxing' adecuado .
• Confianza minada: El Steam Workshop ha sido considerado durante mucho tiempo un espacio semioficial y curado. Este ataque demostró que los actores malintencionados pueden publicar contenido aparentemente legítimo que evade la moderación de Valve .
• Se emitió una alerta formal de ciberseguridad a través de Govly, señalando que Valve Corporation se enfrenta ahora a un riesgo creíble de malware en el Workshop que había recibido poca atención pública .
• Las mitigaciones recomendadas incluyen escanear las subidas al Workshop en busca de ejecución de comandos del sistema integrados, aislar los entornos Blueprint/VScript mediante 'sandboxing' y educar a los jugadores para que traten el contenido del Workshop con la misma precaución que las descargas de terceros .

En resumen

Los incidentes de Meccha Chameleon en julio de 2026 demuestran que el contenido del Steam Workshop puede servir como un vector viable de distribución de malware, incluso cuando el juego en sí es seguro. Aunque el desarrollador actuó con rapidez para parchear la vulnerabilidad, el hackeo de Discord expuso las consecuencias en cascada de un solo sistema infectado.

Se recomienda a los jugadores que hayan entrado en "Laser Tag Neon" o "Chroma Grid Arena" después del 15 de julio que revisen su carpeta Documentos en busca de un archivo llamado s.bat y ejecuten un análisis completo con su antivirus . Hasta que el servidor oficial de Discord esté completamente restaurado, evita hacer clic en cualquier enlace que se publique allí.