Hoe kwaadaardige Workshop-kaarten gamers troffen en een officiële Discord-server lieten crashen

Het incident was niet het gevolg van een fout in de spelbestanden zelf. Het betrof een kwetsbaarheid aan de Workshop-kant — een probleem dat een bredere dreiging voor het hele Steam Workshop-ecosysteem blootlegde .

Hoe de malware zich verspreidde via aangepaste kaarten

De crisis begon op 24 juli 2026, toen beveiligingsonderzoeker Feint (FeintBE) een gedetailleerde analyse publiceerde op Reddit . Hij ontdekte dat twee aangepaste kaarten op Steam Workshop — 'Laser Tag Neon' (Workshop-ID 3765145606) en 'Chroma Grid Arena' — verborgen kwaadaardige scripts bevatten, ingebed in het Blueprint-scriptingsysteem van de game .

Zodra een speler een van deze kaarten laadde, activeerde de Blueprint automatisch en verscheen er kort een commandoregelvenster. Wat volgde was een volledige malware-keten :

• De Blueprint schreef een batchbestand (s.bat) weg naar de Documenten-map van de gebruiker .
• Dat batchbestand startte een verborgen PowerShell-proces met omzeild uitvoeringsbeleid .
• PowerShell nam contact op met een externe server (gehost in Nederland) om een tweede payload te downloaden. De server gaf echter een 404-foutmelding, wat betekent dat de payload uiteindelijk niet werd afgeleverd .
• De malware had de potentie om privébestanden uit te lezen, deze naar een externe server te uploaden en mogelijk ransomware uit te voeren of gegevens te wissen .

De gecompromitteerde kaarten werden later opnieuw geüpload onder alternatieve namen zoals 'Neon Void Arena' . Volgens Feint's analyse was de kwaadaardige kaart onopgemerkt door het Workshop-goedkeuringsproces van Steam gekomen .

Belangrijk: De spelbestanden van de game zelf zijn nooit geïnfecteerd geraakt. De kwetsbaarheid was geïsoleerd tot aangepaste Workshop-inhoud .

De Discord-serverhack: een kettingreactie

Op 25 juli, dezelfde dag dat LEMORION patch 3.2.0 uitbracht om de Workshop-kwetsbaarheid te verhelpen, werd de officiële Discord-server van de game gehackt .

De aanvaller kreeg toegang via een back-up-pc van een beheerder, waarbij 2FA-beveiliging werd omzeild . Volgens berichten op Steam-communityforums werd de inbraak mogelijk veroorzaakt doordat een ontwikkelaar of servereigenaar de geïnfecteerde Workshop-kaart had gedownload, waardoor beheerdersreferenties per ongeluk werden blootgesteld .

Eenmaal binnen deed de hacker het volgende :

• Hij verwijderde de kanaalstructuur van de server.
• Hij bande legitieme medewerkers.
• Hij plaatste bizarre, dreigende berichten en neppe viruswaarschuwingen — waaronder valse beweringen dat de game-update een Remote Access Trojan (RAT) bevatte.
• Hij spammede kwaadaardige links naar de community.

Reactie van ontwikkelaar LEMORION

Ontwikkelaar LEMORION handelde snel om de schade op drie fronten te beperken:

1. Patch 3.2.0 (25 juli): Sloot de Blueprint-gebaseerde kwetsbaarheid die aangepaste kaarten in staat stelde willekeurige systeemopdrachten uit te voeren .
2. Inhoud verwijderen: De twee bekende kwaadaardige kaarten werden gemarkeerd en verwijderd uit Steam Workshop .
3. Publieke communicatie: LEMORION bevestigde dat de spelbestanden nooit gecompromitteerd waren, bestempelde de RAT-beweringen als '100% onwaar' en drong er bij spelers op aan geen links te klikken in de gecompromitteerde Discord . De ontwikkelaar wist ook de geïnfecteerde beheerders-pc en nam contact op met Discord-ondersteuning om de controle over de server terug te krijgen .

Reacties van de Steam-community

De Meccha Chameleon-community reageerde geschokt en gefrustreerd. Op Steam-forums en Reddit uitten spelers hun verbazing dat aangepaste kaarten — en niet uitvoerbare bestanden — malware konden verspreiden. Dit doorbrak de lang gekoesterde aanname dat Workshop-inhoud veilig is .

Belangrijke reacties uit de community waren onder meer :

• Spelers die meldden dat ze na het spelen van de verdachte kaarten infecties opliepen en virusscans uitvoerden ter bevestiging.
• Waarschuwingen om geen enkele Meccha Chameleon Workshop-kaart te downloaden totdat de situatie was opgelost.
• Kritiek op Valve vanwege het ontbreken van strengere controles op inhoud in de Workshop.

Brede beveiligingsimplicaties voor het Steam Workshop-ecosysteem

Het Meccha Chameleon-incident legde een fundamentele beveiligingskloof bloot die veel verder reikt dan één game:

• Uitvoering van code op Blueprint-niveau: Het feit dat het eigen scriptingsysteem van een game kon worden bewapend om willekeurige systeemopdrachten uit te voeren, betekent dat het risico van toepassing is op elke Steam-game die door gebruikers gegenereerde scripts toestaat zonder sandboxing .
• Vertrouwen ondermijnd: De Steam Workshop werd lange tijd beschouwd als een semi-officiële, samengestelde ruimte. Deze aanval toonde aan dat kwaadwillenden schijnbaar legitieme inhoud kunnen publiceren die de moderatie van Valve omzeilt .
• Een formeel cyberbeveiligingsalarm werd uitgegeven via Govly, waarin werd opgemerkt dat Valve Corporation nu wordt geconfronteerd met een geloofwaardig Workshop-malwarerisico dat tot nu toe weinig publieke aandacht had gekregen .
• Aanbevolen maatregelen zijn onder meer het scannen van Workshop-uploads op ingebedde systeemopdrachten, het in een sandbox plaatsen van Blueprint/VScript-omgevingen en het voorlichten van spelers om Workshop-inhoud met dezelfde voorzichtigheid te behandelen als downloads van derden .

Conclusie

De Meccha Chameleon-incidenten van juli 2026 tonen aan dat Steam Workshop-inhoud kan dienen als een levensvatbaar vector voor malware, zelfs als de game zelf veilig is. Hoewel de ontwikkelaar snel handelde om de kwetsbaarheid te dichten, legde de Discord-hack de cascadegevolgen bloot van één enkel geïnfecteerd systeem.

Spelers die na 15 juli 'Laser Tag Neon' of 'Chroma Grid Arena' hebben gespeeld, wordt geadviseerd hun map Documenten te controleren op een bestand met de naam s.bat en een volledige antivirusscan uit te voeren . Klik totdat de officiële Discord-server volledig is hersteld niet op links die daar worden geplaatst.