Crise du malware Meccha Chameleon : des cartes Steam Workshop infectées entraînent un piratage du serveur Discord

Comment le malware s'est propagé via les cartes personnalisées

La crise a commencé le 24 juillet 2026, lorsque le chercheur en sécurité Feint (FeintBE) a publié une analyse détaillée sur Reddit . Il avait découvert que deux cartes personnalisées du Steam Workshop — « Laser Tag Neon » (ID Workshop 3765145606) et « Chroma Grid Arena » — contenaient des scripts malveillants cachés dans le système de Blueprint du jeu .

Lorsqu'un joueur chargeait l'une de ces cartes, le Blueprint s'activait automatiquement et affichait brièvement une invite de commande. Ce qui suivait était une chaîne complète de livraison de malware :

• Le Blueprint écrivait un fichier batch (s.bat) dans le dossier Documents de l'utilisateur .
• Ce fichier batch lançait un processus PowerShell caché avec une politique d'exécution contournée .
• PowerShell contactait un serveur externe (hébergé aux Pays-Bas) pour télécharger une charge utile de second niveau, mais le serveur renvoyait une erreur 404, ce qui signifie que la charge utile n'a finalement pas été délivrée .
• Le malware avait la capacité de lire des fichiers privés, de les télécharger sur un serveur distant et potentiellement d'exécuter un ransomware ou de supprimer des données .

Les cartes compromises ont ensuite été retéléchargées sous des noms alternatifs comme « Neon Void Arena » . Selon l'analyse de Feint, la carte malveillante avait passé le processus de révision du Steam Workshop sans être détectée .

Important : Les fichiers exécutables du jeu n'ont jamais été infectés. L'exploit était isolé aux contenus personnalisés du Workshop .

Le piratage du serveur Discord : une réaction en chaîne

Le 25 juillet, le jour même où LEMORION a publié le correctif 3.2.0 pour résoudre l'exploit du Workshop, le serveur Discord officiel du jeu a été piraté .

L'attaquant a obtenu l'accès via un PC de sauvegarde d'un administrateur, contournant la sécurité 2FA . Selon les rapports de la communauté Steam, la brèche aurait pu être causée par un développeur ou le propriétaire du serveur qui aurait téléchargé la carte infectée du Workshop, exposant ainsi les identifiants d'administration .

Une fois à l'intérieur, le pirate a :

• Supprimé la structure des canaux du serveur
• Banni les membres du personnel légitimes
• Publié des messages bizarres et menaçants, ainsi que de fausses alertes de virus — y compris des affirmations selon lesquelles la mise à jour du jeu contenait un cheval de Troie d'accès à distance (RAT)
• Envoyé des liens malveillants en spam à la communauté

Réponse du développeur LEMORION

Le développeur LEMORION a agi rapidement pour contenir les dégâts sur trois fronts :

1. Correctif 3.2.0 (25 juillet) : A fermé l'exploit basé sur Blueprint qui permettait aux cartes personnalisées d'exécuter des commandes système arbitraires .
2. Suppression des contenus : Les deux cartes malveillantes connues ont été signalées et retirées du Steam Workshop .
3. Communication publique : LEMORION a confirmé que les fichiers du jeu n'avaient jamais été compromis, a qualifié les affirmations concernant le RAT de « 100 % fausses » et a exhorté les joueurs à ne cliquer sur aucun lien dans le Discord compromis . Le développeur a également nettoyé le PC administrateur infecté et contacté le support Discord pour reprendre le contrôle du serveur .

Réactions de la communauté Steam

La communauté de Meccha Chameleon a réagi avec alarme et frustration. Sur les forums Steam et Reddit, les joueurs ont exprimé leur choc que des cartes personnalisées — et non des exécutables — puissent distribuer des malwares, remettant en cause l'hypothèse longtemps admise que le contenu du Workshop est sûr .

Parmi les réactions clés de la communauté :

• Des joueurs ont signalé des infections après avoir joué sur les cartes suspectes et ont effectué des analyses antivirus pour confirmation
• Des avertissements de ne pas télécharger de cartes Meccha Chameleon du Workshop tant que la situation n'était pas résolue
• Des critiques envers Valve pour l'absence de mesures de contrôle de contenu plus solides sur le Workshop

Implications plus larges pour la sécurité de l'écosystème Steam Workshop

L'incident de Meccha Chameleon a mis en évidence une lacune de sécurité fondamentale qui dépasse largement le cadre d'un seul jeu :

• Exécution de code au niveau Blueprint : Le fait que le propre système de script d'un jeu puisse être utilisé pour exécuter des commandes système arbitraires signifie que le risque s'applique à tout jeu Steam qui autorise des scripts générés par les utilisateurs sans sandboxing .
• Confiance compromise : Le Steam Workshop a longtemps été considéré comme un espace semi-officiel et organisé. Cette attaque a montré que des acteurs malveillants peuvent publier des contenus apparemment légitimes qui contournent la modération de Valve .
• Une alerte formelle de cybersécurité a été émise via Govly, notant que Valve Corporation fait désormais face à un risque crédible de malware sur le Workshop qui avait reçu peu d'attention du public .
• Les mesures d'atténuation recommandées incluent l'analyse des téléchargements du Workshop pour détecter l'exécution de commandes système embarquées, le sandboxing des environnements Blueprint/VScript et la sensibilisation des joueurs à traiter le contenu du Workshop avec la même prudence que les téléchargements tiers .

En résumé

Les incidents de Meccha Chameleon de juillet 2026 démontrent que le contenu du Steam Workshop peut servir de vecteur de distribution de malware viable, même lorsque le jeu lui-même est sécurisé. Bien que le développeur ait agi rapidement pour corriger l'exploit, le piratage du Discord a exposé les conséquences en cascade d'un seul système infecté.

Les joueurs qui ont joué à « Laser Tag Neon » ou « Chroma Grid Arena » après le 15 juillet sont invités à vérifier dans leur dossier Documents la présence d'un fichier nommé s.bat et à exécuter une analyse antivirus complète . Tant que le serveur Discord officiel n'est pas entièrement rétabli, évitez de cliquer sur les liens qui y sont publiés.