Crisi malware Meccha Chameleon: mappe Steam Workshop infettano i giocatori e portano all'hack del server Discord

Come il malware si è diffuso attraverso le mappe personalizzate

La crisi è iniziata il 24 luglio 2026, quando il ricercatore di sicurezza Feint (FeintBE) ha pubblicato un'analisi dettagliata su Reddit . Ha scoperto che due mappe personalizzate su Steam Workshop — "Laser Tag Neon" (ID Workshop 3765145606) e "Chroma Grid Arena" — contenevano script malevoli nascosti all'interno del sistema di scripting Blueprint del gioco .

Quando un giocatore caricava una di queste mappe, il Blueprint si attivava automaticamente e mostrava brevemente un prompt dei comandi. Quello che succedeva dopo era una vera e propria catena di distribuzione di malware :

• Il Blueprint scriveva un file batch (s.bat) nella cartella Documenti dell'utente .
• Quel file batch lanciava un processo PowerShell nascosto con la politica di esecuzione bypassata .
• PowerShell contattava un server esterno (ospitato nei Paesi Bassi) per scaricare un payload di secondo stadio, anche se il server restituiva un errore 404, il che significa che il payload non è mai stato effettivamente consegnato .
• Il malware aveva la capacità di leggere file privati, caricarli su un server remoto e potenzialmente eseguire ransomware o cancellare dati .

Le mappe compromesse sono state successivamente ricaricate con nomi alternativi come "Neon Void Arena" . Secondo l'analisi di Feint, la mappa malevola era riuscita a superare il processo di revisione di Steam Workshop senza essere rilevata .

Importante: I file eseguibili del gioco non sono mai stati infettati. Lo sfruttamento era limitato ai contenuti personalizzati del Workshop .

L'hack del server Discord: una reazione a catena

Il 25 luglio, lo stesso giorno in cui LEMORION ha pubblicato la Patch 3.2.0 per risolvere lo sfruttamento del Workshop, il server Discord ufficiale del gioco è stato hackerato .

L'aggressore ha ottenuto l'accesso tramite un PC di backup di un amministratore, aggirando la sicurezza 2FA . Secondo i resoconti della community di Steam, la violazione potrebbe essere stata causata da uno sviluppatore o dal proprietario del server che ha scaricato la mappa infetta del Workshop, esponendo inavvertitamente le credenziali di amministratore .

Una volta dentro, l'hacker :

• Ha eliminato la struttura dei canali del server
• Ha bannato i membri dello staff legittimi
• Ha pubblicato messaggi bizzarri e minacciosi e falsi avvisi di virus — incluse false affermazioni secondo cui l'aggiornamento del gioco conteneva un Remote Access Trojan (RAT)
• Ha inviato spam con link malevoli mirati alla community

La risposta dello sviluppatore LEMORION

Lo sviluppatore LEMORION si è mosso rapidamente per contenere i danni su tre fronti:

1. Patch 3.2.0 (25 luglio): ha chiuso lo sfruttamento basato su Blueprint che consentiva alle mappe personalizzate di eseguire comandi arbitrari di sistema .
2. Rimozione dei contenuti: le due mappe malevole note sono state segnalate e rimosse da Steam Workshop .
3. Comunicazione pubblica: LEMORION ha confermato che i file di gioco non sono mai stati compromessi, ha definito le affermazioni sul RAT "false al 100%" e ha esortato i giocatori a non cliccare su alcun link nel Discord compromesso . Lo sviluppatore ha anche formattato il PC dell'amministratore infetto e ha contattato il supporto di Discord per riprendere il controllo del server .

Reazioni della community di Steam

La community di Meccha Chameleon ha reagito con allarme e frustrazione. Sui forum di Steam e su Reddit, i giocatori hanno espresso shock per il fatto che mappe personalizzate — non eseguibili — potessero distribuire malware, mettendo in discussione la convinzione di lunga data che i contenuti del Workshop siano sicuri .

Le principali reazioni della community hanno incluso :

• Giocatori che hanno segnalato infezioni dopo aver giocato alle mappe sospette e aver eseguito scansioni antivirus per conferma
• Avvertimenti di non scaricare alcuna mappa di Meccha Chameleon dal Workshop fino a quando la situazione non fosse stata risolta
• Critiche a Valve per non avere salvaguardie più forti per la scansione dei contenuti sul Workshop

Implicazioni di sicurezza più ampie per l'ecosistema Steam Workshop

L'incidente di Meccha Chameleon ha evidenziato una lacuna di sicurezza fondamentale che si estende ben oltre un singolo gioco:

• Esecuzione di codice a livello di Blueprint: Il fatto che il sistema di scripting di un gioco possa essere armato per eseguire comandi arbitrari di sistema significa che il rischio si applica a qualsiasi gioco Steam che consenta script generati dagli utenti senza sandboxing .
• Fiducia minata: Steam Workshop è stato a lungo considerato uno spazio semi-ufficiale e curato. Questo attacco ha dimostrato che gli attori malevoli possono pubblicare contenuti apparentemente legittimi che bypassano la moderazione di Valve .
• Un allerta di cybersecurity formale è stata emessa tramite Govly, sottolineando che Valve Corporation ora deve affrontare un rischio credibile di malware sul Workshop che ha ricevuto poca attenzione pubblica .
• Le mitigazioni raccomandate includono la scansione dei caricamenti del Workshop per l'esecuzione di comandi di sistema incorporati, il sandboxing degli ambienti Blueprint/VScript e l'educazione dei giocatori a trattare i contenuti del Workshop con la stessa cautela dei download di terze parti .

In sintesi

Gli incidenti di Meccha Chameleon del luglio 2026 dimostrano che i contenuti di Steam Workshop possono fungere da vettore di distribuzione di malware praticabile, anche quando il gioco stesso è sicuro. Sebbene lo sviluppatore abbia agito rapidamente per correggere lo sfruttamento, l'hack di Discord ha esposto le conseguenze a catena di un singolo sistema infetto.

Si consiglia ai giocatori che hanno giocato a "Laser Tag Neon" o "Chroma Grid Arena" dopo il 15 luglio di controllare la propria cartella Documenti per un file chiamato s.bat e di eseguire una scansione antivirus completa . Fino a quando il server Discord ufficiale non sarà completamente ripristinato, evitate di cliccare su qualsiasi link pubblicato lì.