Krisis Malware Meccha Chameleon: Peta Steam Workshop Jadi Celah Keamanan

Pada akhir Juli 2026, game indie petak umpet viral Meccha Chameleon mendadak menjadi pusat krisis keamanan yang langka. Kejadiannya berlangsung dalam dua babak: pertama, kampanye malware menyebar melalui peta kustom di Steam Workshop; beberapa jam kemudian, server Discord resmi game — rumah bagi lebih dari 100.000 anggota — diretas dan praktis dihancurkan . Developer, LEMORION, pun kebingungan menambal game, menghapus konten yang terinfeksi, dan berusaha merebut kembali kendali pusat komunitas mereka.

Yang penting dicatat: insiden ini bukan karena kegagalan file executable game itu sendiri. Ini adalah kerentanan di sisi Workshop — sebuah celah yang memperlihatkan ancaman yang lebih luas bagi seluruh ekosistem Steam Workshop .

Bagaimana Malware Menyebar Lewat Peta Kustom

Krisis dimulai pada 24 Juli 2026, ketika peneliti keamanan Feint (FeintBE) menerbitkan analisis terperinci di Reddit . Ia menemukan dua peta kustom di Steam Workshop — "Laser Tag Neon" (ID Workshop 3765145606) dan "Chroma Grid Arena" — mengandung skrip berbahaya yang tersembunyi di dalam sistem skrip Blueprint game .

Saat pemain memuat salah satu peta ini, Blueprint aktif secara otomatis dan sekilas menampilkan jendela command prompt. Apa yang terjadi selanjutnya adalah rantai pengiriman malware yang lengkap :

• Blueprint menulis file batch (s.bat) ke dalam folder Documents pengguna .
• File batch itu kemudian meluncurkan proses PowerShell tersembunyi dengan kebijakan eksekusi yang dilewati .
• PowerShell menghubungi server eksternal (yang dihosting di Belanda) untuk mengunduh muatan tahap kedua, meskipun server mengembalikan kode 404, artinya muatan tersebut tidak benar-benar terkirim .
• Malware ini memiliki kemampuan untuk membaca file pribadi, mengunggahnya ke server jarak jauh, dan berpotensi menjalankan ransomware atau menghapus data .

Peta yang disusupi kemudian diunggah ulang dengan nama alternatif seperti "Neon Void Arena" . Menurut analisis Feint, peta berbahaya ini berhasil lolos dari proses peninjauan Steam Workshop tanpa terdeteksi .

Penting: File executable game itu sendiri tidak pernah terinfeksi. Eksploitasi ini terisolasi pada konten kustom Workshop .

Peretasan Server Discord: Reaksi Berantai

Pada 25 Juli, hari yang sama saat LEMORION merilis Patch 3.2.0 untuk memperbaiki eksploitasi Workshop, server Discord resmi game diretas .

Peretas mendapatkan akses melalui PC cadangan milik admin, melewati keamanan 2FA . Menurut laporan komunitas Steam, pelanggaran ini mungkin disebabkan oleh developer atau pemilik server yang mengunduh peta Workshop yang terinfeksi, sehingga tanpa sengaja mengekspos kredensial admin .

Setelah masuk, peretas :

• Menghapus struktur saluran server
• Melarang staf yang sah
• Memasang pesan aneh, mengancam, dan peringatan virus palsu — termasuk klaim palsu bahwa pembaruan game berisi Remote Access Trojan (RAT)
• Mengirimkan tautan berbahaya ke komunitas

Respons Developer LEMORION

Developer LEMORION bergerak cepat untuk membendung kerusakan di tiga front:

1. Patch 3.2.0 (25 Juli): Menutup eksploitasi berbasis Blueprint yang memungkinkan peta kustom menjalankan perintah sistem arbitrer .
2. Penghapusan konten: Dua peta berbahaya yang diketahui telah ditandai dan dihapus dari Steam Workshop .
3. Komunikasi publik: LEMORION mengonfirmasi bahwa file game tidak pernah disusupi, menyebut klaim RAT sebagai "100% palsu," dan mendesak pemain untuk tidak mengeklik tautan apa pun di Discord yang disusupi . Developer juga membersihkan PC admin yang terinfeksi dan menghubungi dukungan Discord untuk mendapatkan kembali kendali server .

Reaksi Komunitas Steam

Komunitas Meccha Chameleon merespons dengan kekhawatiran dan frustrasi. Di forum Steam dan Reddit, para pemain menyatakan keterkejutan bahwa peta kustom — bukan file executable — bisa mengirimkan malware, menantang asumsi lama bahwa konten Workshop aman .

Tanggapan utama komunitas meliputi :

• Pemain melaporkan infeksi setelah memainkan peta mencurigakan dan menjalankan pemindaian virus untuk konfirmasi
• Peringatan untuk tidak mengunduh peta Meccha Chameleon dari Workshop sampai situasi selesai
• Kritik terhadap Valve karena tidak memiliki pengamanan pemindaian konten yang lebih kuat di Workshop

Implikasi Keamanan yang Lebih Luas bagi Ekosistem Steam Workshop

Insiden Meccha Chameleon menyoroti celah keamanan mendasar yang melampaui satu game saja:

• Eksekusi kode tingkat Blueprint: Fakta bahwa sistem skrip game itu sendiri bisa dipersenjatai untuk menjalankan perintah sistem arbitrer berarti risiko ini berlaku untuk game Steam mana pun yang mengizinkan skrip buatan pengguna tanpa sandboxing .
• Kepercayaan terkikis: Steam Workshop selama ini dipandang sebagai ruang yang dikurasi semi-resmi. Serangan ini menunjukkan bahwa aktor jahat bisa menerbitkan konten yang tampak sah yang lolos dari moderasi Valve .
• Peringatan keamanan siber resmi dikeluarkan melalui Govly, mencatat bahwa Valve Corporation kini menghadapi risiko malware Workshop yang kredibel yang sebelumnya kurang mendapat perhatian publik .
• Mitigasi yang direkomendasikan termasuk memindai unggahan Workshop untuk eksekusi perintah sistem yang disematkan, menyediakan lingkungan Blueprint/VScript dalam sandbox, dan mendidik pemain untuk memperlakukan konten Workshop dengan kewaspadaan yang sama seperti unduhan pihak ketiga .

Kesimpulan

Insiden Meccha Chameleon pada Juli 2026 menunjukkan bahwa konten Steam Workshop bisa berfungsi sebagai vektor pengiriman malware yang layak, bahkan ketika game itu sendiri aman. Meskipun developer bertindak cepat untuk menambal celah, peretasan Discord memperlihatkan konsekuensi berantai dari satu sistem yang terinfeksi.

Pemain yang memainkan "Laser Tag Neon" atau "Chroma Grid Arena" setelah 15 Juli disarankan untuk memeriksa folder Documents mereka untuk mencari file bernama s.bat dan menjalankan pemindaian antivirus penuh . Sampai server Discord resmi pulih sepenuhnya, hindari mengeklik tautan apa pun yang diposting di sana.