Кризис Meccha Chameleon: карты из Steam Workshop заражали вирусами, а затем взломали Discord-сервер

Важно: инцидент не был связан с уязвимостями в исполняемых файлах самой игры. Удар пришёлся по Workshop — это вскрыло гораздо более серьёзную угрозу для всей экосистемы Steam Workshop .

Как вредоносное ПО попало на компьютеры через карты

Всё началось 24 июля 2026 года, когда исследователь безопасности под ником Feint (FeintBE) опубликовал на Reddit подробный анализ ситуации . Он обнаружил, что две пользовательские карты в Steam Workshop — «Laser Tag Neon» (ID: 3765145606) и «Chroma Grid Arena» — содержат скрытый вредоносный код, встроенный с помощью системы Blueprint в движке игры .

Когда игрок загружал одну из этих карт, Blueprint автоматически активировался — на экране на мгновение мелькало окно командной строки. Вот как работала эта цепочка заражения :

• Blueprint создавал в папке Documents пользователя пакетный файл s.bat .
• Этот файл запускал скрытый процесс PowerShell, игнорируя политики выполнения .
• PowerShell пытался подключиться к внешнему серверу (расположенному в Нидерландах) и скачать второй модуль, но сервер возвращал ошибку 404 — то есть в итоге полезная нагрузка доставлена не была .
• Вредоносная программа могла читать личные файлы, отправлять их на удалённый сервер, а при полной реализации — уничтожать данные или запускать программы-вымогатели .

Злоумышленники позже перезалили эти карты под другими названиями, например «Neon Void Arena» . По словам Feint, вредоносная карта успешно прошла модерацию Steam Workshop .

Важно: файлы самой игры никогда не были заражены. Уязвимость касалась только пользовательского контента .

Взлом Discord: цепная реакция

25 июля, в тот же день, когда LEMORION выпустил патч 3.2.0 для закрытия эксплойта, официальный Discord-сервер игры был взломан .

Злоумышленник получил доступ через резервный компьютер одного из администраторов, обойдя двухфакторную аутентификацию . По сообщениям в сообществе Steam, вероятной причиной стало то, что разработчик или администратор сервера сам скачал заражённую карту — и его учётные данные оказались скомпрометированы .

Оказавшись внутри, хакер :

• Удалил структуру каналов сервера
• Забанил официальных сотрудников
• Публиковал странные и угрожающие сообщения, а также ложные предупреждения о вирусах — в том числе заявил, что обновление игры содержит троян удалённого доступа (RAT)
• Распространял вредоносные ссылки среди участников

Реакция разработчиков LEMORION

Студия LEMORION действовала быстро и по трём направлениям:

1. Патч 3.2.0 (25 июля): закрыл уязвимость в Blueprint, позволявшую выполнять произвольные системные команды .
2. Удаление контента: две известные вредоносные карты были помечены и изъяты из Steam Workshop .
3. Информирование: LEMORION официально заявил, что файлы игры не пострадали, назвал слухи о трояне RAT «100% ложью» и призвал игроков не переходить по ссылкам в Discord-сервере . Разработчик также очистил заражённый администраторский компьютер и обратился в службу поддержки Discord для восстановления сервера .

Реакция сообщества

Игроки отреагировали с тревогой и возмущением. На форумах Steam и Reddit многие выразили шок от того, что пользовательские карты — а не исполняемые файлы — могут доставлять вредоносное ПО. Это поколебало привычное доверие к Steam Workshop .

Ключевые реакции сообщества :

• Игроки сообщали о заражении после игры на подозрительных картах и запускали проверку антивирусом
• Звучали призывы не скачивать никакие карты для Meccha Chameleon, пока ситуация не решится
• Критика в адрес Valve: почему Workshop не имеет более надёжной системы проверки контента?

Общие последствия для безопасности Steam Workshop

Инцидент с Meccha Chameleon высветил принципиальную уязвимость, которая выходит далеко за рамки одной игры:

• Выполнение кода через Blueprint: то, что скриптовая система игры может быть использована для исполнения произвольных команд на ПК, означает, что под угрозой любая игра в Steam, допускающая пользовательские скрипты без песочницы .
• Подрыв доверия: Steam Workshop долгое время воспринимался как курируемое, полуофициальное пространство. Эта атака показала, что злоумышленники могут публиковать якобы легитимный контент, обходя модерацию Valve .
• Официальное предупреждение по кибербезопасности было выпущено через Govly: отмечено, что Valve Corporation теперь сталкивается с реальным риском вредоносного ПО в Workshop, который до сих пор не получил должного общественного внимания .
• Рекомендуемые меры: сканирование загружаемого в Workshop контента на предмет встроенных системных команд, изоляция сред Blueprint и V-скриптов, а также информирование игроков о том, что к контенту Workshop стоит относиться с той же осторожностью, что и к сторонним загрузкам .

Главное

Инциденты с Meccha Chameleon в июле 2026 года наглядно продемонстрировали: содержимое Steam Workshop может быть каналом доставки вредоносного ПО, даже если сама игра полностью безопасна. Разработчик оперативно выпустил патч, но взлом Discord показал, к каким каскадным последствиям приводит заражение всего одного компьютера.

Игрокам, которые запускали карты «Laser Tag Neon» или «Chroma Grid Arena» после 15 июля, рекомендуется проверить папку Documents на наличие файла s.bat и провести полное антивирусное сканирование . Пока официальный Discord-сервер полностью не восстановлен, не переходите по ссылкам, опубликованным там.