Meccha Chameleon-sikkerhetskrisen: Slik ble Steam Workshop-kart et verktøy for skadelig programvare

Slik spredte skadevaren seg via egne kart

Krisen startet 24. juli 2026, da sikkerhetsforskeren Feint (FeintBE) publiserte en detaljert analyse på Reddit . Han oppdaget at to Steam Workshop-kart – "Laser Tag Neon" (Workshop-ID 3765145606) og "Chroma Grid Arena" – inneholdt skjult skadelig kode i spillets Blueprint-skriptsystem .

Når en spiller lastet inn et av disse kartene, aktiverte Blueprint-en seg automatisk og viste et kort glimt av et kommandovindu. Deretter startet en kjede av skadelig aktivitet :

• Blueprint-en skrev en batch-fil (s.bat) i brukerens Documents-mappe .
• Denne batch-filen startet en skjult PowerShell-prosess med omgått utførelsespolicy .
• PowerShell kontaktet en ekstern server (lokalisert i Nederland) for å laste ned en ekstra nyttelast. Serveren returnerte imidlertid en 404-feil, noe som betyr at den ekstra koden aldri ble levert .
• Skadevaren hadde kapasitet til å lese private filer, laste dem opp til en ekstern server, og potensielt kjøre løsepengevirus eller slette data .

De kompromitterte kartene ble senere lastet opp på nytt under alternative navn som "Neon Void Arena" . Ifølge Feint passerte det ondsinnede kartet Steams Workshop-godkjenningsprosess uten å bli oppdaget .

Viktig: Spillets egne spillerbare filer ble aldri infisert. Problemet var isolert til Workshop-basert innhold .

Hacking av Discord-serveren: En dominoeffekt

25. juli, samme dag som LEMORION slapp Patch 3.2.0 for å fikse Workshop-hullet, ble spillets offisielle Discord-server hacket .

Angriperen fikk tilgang via en admin sin backup-PC, utenom tofaktorautentiseringen . Ifølge rapporter på Steam kan bruddet ha skjedd fordi en utvikler eller server-eier lastet ned det infiserte Workshop-kartet, og dermed utilsiktet eksponerte admin-påloggingsinformasjon .

Inne på serveren utførte hackeren følgende :

• Slettet serverens kanalstruktur
• Utestengte legitime ansatte
• Postet bisarre og truende meldinger, samt falske virusvarsler – inkludert falske påstander om at spilloppdateringen inneholdt en Remote Access Trojan (RAT)
• Spammet ondsinnede lenker rettet mot fellesskapet

Utvikleren LEMORIONs respons

Utvikler LEMORION handlet raskt for å begrense skaden på tre fronter:

1. Patch 3.2.0 (25. juli): Tettet Blueprint-baserte sikkerhetshullet som tillot egne kart å kjøre vilkårlige systemkommandoer .
2. Fjerning av innhold: De to kjente ondsinnede kartene ble flagget og fjernet fra Steam Workshop .
3. Offentlig kommunikasjon: LEMORION bekreftet at spillets filer aldri var kompromittert, karakteriserte RAT-påstandene som "100% usanne", og oppfordret spillere til å ikke klikke på noen lenker i den hackede Discord-serveren . Utvikleren renset også den infiserte admin-PCen og kontaktet Discord-support for å gjenvinne kontrollen over serveren .

Reaksjoner fra Steam-samfunnet

Meccha Chameleon-samfunnet responderte med alarm og frustrasjon. På Steam-forum og Reddit uttrykte spillere sjokk over at brukerlagde kart – ikke spillbare filer – kunne spre skadevare, noe som utfordret den lenge holdte antakelsen om at Workshop-innhold er trygt .

Sentrale reaksjoner inkluderte :

• Spillere som rapporterte infeksjoner etter å ha spilt de mistenkelige kartene, og som utførte virus-skanninger for bekreftelse.
• Advarsler om å ikke laste ned noen Meccha Chameleon Workshop-kart før situasjonen var løst.
• Kritikk av Valve for ikke å ha sterkere innholdskontrollmekanismer på Workshop.

Større sikkerhetsimplikasjoner for Steam Workshop-økosystemet

Meccha Chameleon-hendelsen satte søkelyset på et grunnleggende sikkerhetshull som strekker seg langt utover ett enkelt spill:

• Kjøring av kode på Blueprint-nivå: At et spills eget skriptspråk kan brukes til å kjøre vilkårlige systemkommandoer betyr at risikoen gjelder alle Steam-spill som tillater brukergenererte skript uten sandkassing .
• Svekket tillit: Steam Workshop har lenge blitt sett på som en semi-offisiell, kuratert plass. Dette angrepet viste at ondsinnede aktører kan publisere tilsynelatende legitimt innhold som unngår Valves moderering .
• En formell cybersikkerhetsvarsling ble utstedt via Govly, som konstaterer at Valve Corporation nå står overfor en troverdig Workshop-malware-risiko som har fått lite offentlig oppmerksomhet .
• Anbefalte tiltak: Inkluderer skanning av Workshop-opplastinger for innebygd systemkommandoutførelse, sandkassing av Blueprint/VScript-miljøer, og opplæring av spillere i å behandle Workshop-innhold med samme forsiktighet som nedlastinger fra tredjepart .

Sammendrag

Meccha Chameleon-hendelsene i juli 2026 viser at Steam Workshop-innhold kan fungere som en vektor for spredning av skadelig programvare, selv når selve spillet er sikkert. Selv om utvikleren handlet raskt for å tette hullet, avslørte Discord-hackingen de kaskadevirkningene en enkelt infisert PC kan ha.

Spillere som spilte "Laser Tag Neon" eller "Chroma Grid Arena" etter 15. juli, anbefales å sjekke Documents-mappen for en fil som heter s.bat og kjøre en full antivirusskanning . Inntil den offisielle Discord-serveren er fullstendig restaurert, bør du unngå å klikke på noen linker som postes der.