התקרית לא נגרמה מכשל בקובצי ההפעלה של המשחק עצמו. זו הייתה פרצה בצד ה-Workshop – כזו שחושפת איום רחב יותר על כל מערכת ה-Steam Workshop .

כיצד התפשטה התוכנה הזדונית דרך מפות מותאמות אישית

המשבר החל ב-24 ביולי 2026, כאשר חוקר האבטחה Feint (FeintBE) פרסם ניתוח מפורט ב-Reddit . הוא גילה ששתי מפות מותאמות אישית ב-Steam Workshop - "Laser Tag Neon" (מזהה Workshop 3765145606) ו-"Chroma Grid Arena" - הכילו סקריפטים זדוניים נסתרים שהוטמעו במערכת הסקריפטינג Blueprint של המשחק .

כאשר שחקן טען את אחת המפות הללו, ה-Blueprint הופעל אוטומטית והציג לרגע חלון שורת פקודה. מה שקרה לאחר מכן היה שרשרת הפצת תוכנה זדונית מלאה :

• ה-Blueprint כתב קובץ אצווה (s.bat) לתיקיית Documents של המשתמש .
• קובץ האצווה הפעיל תהליך PowerShell נסתר תוך עקיפת מדיניות ההרשאות .
• PowerShell יצר קשר עם שרת חיצוני (המתארח בהולנד) כדי להוריד מטען שני, אם כי השרת החזיר שגיאת 404, כלומר המטען לא סופק בסופו של דבר .
• לתוכנה הזדונית הייתה יכולת לקרוא קבצים פרטיים, להעלותם לשרת מרוחק, ואף לבצע כופרה (Ransomware) או למחוק נתונים .

המפות שנפרצו הועלו מחדש תחת שמות חלופיים כמו "Neon Void Arena" . לפי ניתוחו של Feint, המפה הזדונית עברה את תהליך הבדיקה של Steam Workshop מבלי להתגלות .

חשוב: קובצי ההפעלה של המשחק עצמו מעולם לא נדבקו. הניצול היה מבודד לתוכן המותאם אישית של ה-Workshop .

פריצת שרת הדיסקורד: אפקט דומינו

ב-25 ביולי, באותו היום שבו LEMORION פרסמה את Patch 3.2.0 לתיקון פרצת ה-Workshop, נפרץ שרת הדיסקורד הרשמי של המשחק .

התוקף השיג גישה דרך מחשב גיבוי של מנהל מערכת, תוך עקיפת אבטחת אימות דו-שלבי (2FA) . על פי דיווחים בקהילת Steam, ייתכן שהפריצה נגרמה על ידי מפתח או בעל שרה שהורידו את מפת ה-Workshop הנגועה, ובכך חשפו בשוגג את פרטי הכניסה של המנהל .

ברגע שנכנס, ההאקר :

• מחק את מבנה הערוצים של השרת
• חסם צוות תמיכה לגיטימי
• פרסם הודעות מוזרות ומאיימות ואזהרות וירוס מזויפות - כולל טענות שווא שעדכון המשחק מכיל סוס טרויאני לגישה מרחוק (RAT)
• הציף קישורים זדוניים שכוונו נגד הקהילה

תגובת המפתחת LEMORION

המפתחת LEMORION פעלה במהירות כדי להכיל את הנזק בשלושה מישורים:

1. Patch 3.2.0 (25 ביולי): חסם את ניצול ה-Blueprint שאפשר למפות מותאמות אישית להריץ פקודות מערכת שרירותיות .
2. הסרת תוכן: שתי המפות הזדוניות הידועות סומנו והוסרו מ-Steam Workshop .
3. תקשורת ציבורית: LEMORION אישרה שקובצי המשחק מעולם לא נפגעו, תייגה את טענות ה-RAT כ"שקריות ב-100%", והפצירה בשחקנים לא ללחוץ על אף קישור בדיסקורד שנפרץ . המפתחת גם מחקה את מחשב המנהל הנגוע ופנתה לתמיכה של Discord כדי להשיב לעצמה את השליטה בשרת .

תגובות קהילת Steam

קהילת Meccha Chameleon הגיבה בבהלה ובתסכול. בפורומים של Steam ו-Reddit, שחקנים הביעו הלם על כך שמפות מותאמות אישית - לא קובצי הפעלה - יכולות להפיץ תוכנות זדוניות, תוך ערעור ההנחה הרווחת שתוכן Workshop בטוח .

תגובות מרכזיות מהקהילה כללו :

• שחקנים דיווחו על הידבקות לאחר משחק במפות החשודות וביצוע סריקות וירוסים לאישור
• אזהרות לא להוריד אף מפה של Meccha Chameleon מה-Workshop עד לפתרון המצב
• ביקורת על Valve על היעדר אמצעי סינון תוכן חזקים יותר ב-Workshop

השלכות אבטחה רחבות יותר על מערכת Steam Workshop

תקרית Meccha Chameleon חשפה פער אבטחה יסודי החורג הרבה מעבר למשחק בודד:

• ביצוע קוד ברמת Blueprint: העובדה שמערכת הסקריפטינג של המשחק עצמה ניתנת לניצול להרצת פקודות מערכת שרירותיות משמעה שהסיכון חל על כל משחק Steam המאפשר סקריפטים שנוצרו על ידי משתמשים ללא ארגז חול (Sandboxing) .
• ערעור האמון: Steam Workshop נתפסה זה מכבר כמרחב חצי-רשמי ומתוחזק. התקפה זו הראתה שגורמים זדוניים יכולים לפרסם תוכן שנראה לגיטימי שעוקף את מערך הפיקוח של Valve .
• התראת סייבר רשמית הונפקה דרך Govly, וציינה שחברת Valve מתמודדת כעת עם סיכון תוכנה זדונית אמין ב-Workshop שזכה עד כה לתשומת לב ציבורית מועטה .
• אמצעי הפחתה מומלצים כוללים סריקת העלאות Workshop לביצוע פקודות מערכת מוטמעות, בידוד סביבות Blueprint/VScript בארגז חול, וחינוך שחקנים להתייחס לתוכן Workshop באותה זהירות כמו להורדות צד שלישי .

השורה התחתונה

תקריות Meccha Chameleon מיולי 2026 מוכיחות שתוכן Steam Workshop יכול לשמש כווקטור הפצת תוכנות זדוניות בר-קיימא, גם כאשר המשחק עצמו מאובטח. בעוד שהמפתחת פעלה במהירות לתיקון הפרצה, פריצת הדיסקורד חשפה את ההשלכות המדורגות של מערכת נגועה בודדת.

שחקנים ששיחקו ב"Laser Tag Neon" או "Chroma Grid Arena" לאחר 15 ביולי מומלץ לבדוק בתיקיית Documents שלהם קובץ בשם s.bat ולהפעיל סריקת אנטי-וירוס מלאה . עד ששרת הדיסקורד הרשמי ישוקם במלואו, הימנעו מלחיצה על קישורים שפורסמו בו.

התקרית לא נגרמה מכשל בקובצי ההפעלה של המשחק עצמו. זו הייתה פרצה בצד ה-Workshop – כזו שחושפת איום רחב יותר על כל מערכת ה-Steam Workshop .

כיצד התפשטה התוכנה הזדונית דרך מפות מותאמות אישית

המשבר החל ב-24 ביולי 2026, כאשר חוקר האבטחה Feint (FeintBE) פרסם ניתוח מפורט ב-Reddit . הוא גילה ששתי מפות מותאמות אישית ב-Steam Workshop - "Laser Tag Neon" (מזהה Workshop 3765145606) ו-"Chroma Grid Arena" - הכילו סקריפטים זדוניים נסתרים שהוטמעו במערכת הסקריפטינג Blueprint של המשחק .

כאשר שחקן טען את אחת המפות הללו, ה-Blueprint הופעל אוטומטית והציג לרגע חלון שורת פקודה. מה שקרה לאחר מכן היה שרשרת הפצת תוכנה זדונית מלאה :

• ה-Blueprint כתב קובץ אצווה (s.bat) לתיקיית Documents של המשתמש .
• קובץ האצווה הפעיל תהליך PowerShell נסתר תוך עקיפת מדיניות ההרשאות .
• PowerShell יצר קשר עם שרת חיצוני (המתארח בהולנד) כדי להוריד מטען שני, אם כי השרת החזיר שגיאת 404, כלומר המטען לא סופק בסופו של דבר .
• לתוכנה הזדונית הייתה יכולת לקרוא קבצים פרטיים, להעלותם לשרת מרוחק, ואף לבצע כופרה (Ransomware) או למחוק נתונים .

המפות שנפרצו הועלו מחדש תחת שמות חלופיים כמו "Neon Void Arena" . לפי ניתוחו של Feint, המפה הזדונית עברה את תהליך הבדיקה של Steam Workshop מבלי להתגלות .

חשוב: קובצי ההפעלה של המשחק עצמו מעולם לא נדבקו. הניצול היה מבודד לתוכן המותאם אישית של ה-Workshop .

פריצת שרת הדיסקורד: אפקט דומינו

ב-25 ביולי, באותו היום שבו LEMORION פרסמה את Patch 3.2.0 לתיקון פרצת ה-Workshop, נפרץ שרת הדיסקורד הרשמי של המשחק .

התוקף השיג גישה דרך מחשב גיבוי של מנהל מערכת, תוך עקיפת אבטחת אימות דו-שלבי (2FA) . על פי דיווחים בקהילת Steam, ייתכן שהפריצה נגרמה על ידי מפתח או בעל שרה שהורידו את מפת ה-Workshop הנגועה, ובכך חשפו בשוגג את פרטי הכניסה של המנהל .

ברגע שנכנס, ההאקר :

• מחק את מבנה הערוצים של השרת
• חסם צוות תמיכה לגיטימי
• פרסם הודעות מוזרות ומאיימות ואזהרות וירוס מזויפות - כולל טענות שווא שעדכון המשחק מכיל סוס טרויאני לגישה מרחוק (RAT)
• הציף קישורים זדוניים שכוונו נגד הקהילה

תגובת המפתחת LEMORION

המפתחת LEMORION פעלה במהירות כדי להכיל את הנזק בשלושה מישורים:

1. Patch 3.2.0 (25 ביולי): חסם את ניצול ה-Blueprint שאפשר למפות מותאמות אישית להריץ פקודות מערכת שרירותיות .
2. הסרת תוכן: שתי המפות הזדוניות הידועות סומנו והוסרו מ-Steam Workshop .
3. תקשורת ציבורית: LEMORION אישרה שקובצי המשחק מעולם לא נפגעו, תייגה את טענות ה-RAT כ"שקריות ב-100%", והפצירה בשחקנים לא ללחוץ על אף קישור בדיסקורד שנפרץ . המפתחת גם מחקה את מחשב המנהל הנגוע ופנתה לתמיכה של Discord כדי להשיב לעצמה את השליטה בשרת .

תגובות קהילת Steam

קהילת Meccha Chameleon הגיבה בבהלה ובתסכול. בפורומים של Steam ו-Reddit, שחקנים הביעו הלם על כך שמפות מותאמות אישית - לא קובצי הפעלה - יכולות להפיץ תוכנות זדוניות, תוך ערעור ההנחה הרווחת שתוכן Workshop בטוח .

תגובות מרכזיות מהקהילה כללו :

• שחקנים דיווחו על הידבקות לאחר משחק במפות החשודות וביצוע סריקות וירוסים לאישור
• אזהרות לא להוריד אף מפה של Meccha Chameleon מה-Workshop עד לפתרון המצב
• ביקורת על Valve על היעדר אמצעי סינון תוכן חזקים יותר ב-Workshop

השלכות אבטחה רחבות יותר על מערכת Steam Workshop

תקרית Meccha Chameleon חשפה פער אבטחה יסודי החורג הרבה מעבר למשחק בודד:

• ביצוע קוד ברמת Blueprint: העובדה שמערכת הסקריפטינג של המשחק עצמה ניתנת לניצול להרצת פקודות מערכת שרירותיות משמעה שהסיכון חל על כל משחק Steam המאפשר סקריפטים שנוצרו על ידי משתמשים ללא ארגז חול (Sandboxing) .
• ערעור האמון: Steam Workshop נתפסה זה מכבר כמרחב חצי-רשמי ומתוחזק. התקפה זו הראתה שגורמים זדוניים יכולים לפרסם תוכן שנראה לגיטימי שעוקף את מערך הפיקוח של Valve .
• התראת סייבר רשמית הונפקה דרך Govly, וציינה שחברת Valve מתמודדת כעת עם סיכון תוכנה זדונית אמין ב-Workshop שזכה עד כה לתשומת לב ציבורית מועטה .
• אמצעי הפחתה מומלצים כוללים סריקת העלאות Workshop לביצוע פקודות מערכת מוטמעות, בידוד סביבות Blueprint/VScript בארגז חול, וחינוך שחקנים להתייחס לתוכן Workshop באותה זהירות כמו להורדות צד שלישי .

השורה התחתונה

תקריות Meccha Chameleon מיולי 2026 מוכיחות שתוכן Steam Workshop יכול לשמש כווקטור הפצת תוכנות זדוניות בר-קיימא, גם כאשר המשחק עצמו מאובטח. בעוד שהמפתחת פעלה במהירות לתיקון הפרצה, פריצת הדיסקורד חשפה את ההשלכות המדורגות של מערכת נגועה בודדת.

שחקנים ששיחקו ב"Laser Tag Neon" או "Chroma Grid Arena" לאחר 15 ביולי מומלץ לבדוק בתיקיית Documents שלהם קובץ בשם s.bat ולהפעיל סריקת אנטי-וירוס מלאה . עד ששרת הדיסקורד הרשמי ישוקם במלואו, הימנעו מלחיצה על קישורים שפורסמו בו.