Meccha Chameleon-krisen: Workshoppens kartor spred skadlig kod – och Discord-servern kapades

Det hela berodde inte på att spelets egna programfiler var infekterade, utan på en sårbarhet i själva Workshop-systemet – en svaghet som exponerade ett mycket större hot mot hela Steam-ekosystemet .

Så spreds skadlig kod via anpassade kartor

Krisen började den 24 juli 2026, när säkerhetsforskaren Feint (FeintBE) publicerade en detaljerad analys på Reddit . Han hade upptäckt att två anpassade kartor på Steam Workshop – "Laser Tag Neon" (Workshop-ID 3765145606) och "Chroma Grid Arena" – innehöll dolda skadliga skript inbäddade i spelets Blueprint-skriptsystem .

När en spelare laddade en av dessa kartor aktiverades Blueprint-skriptet automatiskt och ett kommandotolksfönster blinkade snabbt till. Det som sedan hände var en full kedja av skadlig kod :

• Blueprint-skriptet skrev en batch-fil (s.bat) i användarens Dokument-mapp .
• Den batch-filen startade en dold PowerShell-process med kringgådd exekveringspolicy .
• PowerShell kontaktade en extern server (hostad i Nederländerna) för att ladda ner en andra del av skadlig kod, men servern returnerade en 404-status, vilket innebar att laddningen inte slutfördes .
• Den skadliga koden hade kapacitet att läsa privata filer, ladda upp dem till en fjärrserver och potentiellt utföra utpressningsprogram (ransomware) eller radera data .

De komprometterade kartorna laddades senare upp igen under alternativa namn som "Neon Void Arena" . Enligt Feints analys hade den skadliga kartan passerat Steams granskningsprocess utan att upptäckas .

Viktigt: Spelets egna körbara filer var aldrig infekterade. Exploateringen var isolerad till Workshopens anpassade innehåll .

Discord-serverhacket: En dominoeffekt

Den 25 juli, samma dag som LEMORION släppte Patch 3.2.0 för att åtgärda Workshop-exploateringen, hackades spelets officiella Discord-server .

Angriparen fick tillgång via en administratörs backup-dator och kringgick 2FA-säkerheten . Enligt rapporter på Steam Forum kan intrånget ha orsakats av att en utvecklare eller serverägare laddade ner den infekterade Workshop-kartan, vilket oavsiktligt exponerade administratörsuppgifter .

Väl inne :

• Raderade hackern serverns kanalstruktur
• Bannlyste legitima personalmedlemmar
• Publicerade bisarra, hotfulla meddelanden och falska virusvarningar – bland annat falska påståenden om att speluppdateringen innehöll en fjärråtkomsttrojan (RAT)
• Spammade skadliga länkar riktade mot communityn

Utvecklaren LEMORIONS åtgärder

Utvecklaren LEMORION agerade snabbt för att begränsa skadan på tre fronter:

1. Patch 3.2.0 (25 juli): Stängde Blueprint-exploateringen som tillät anpassade kartor att utföra godtyckliga systemkommandon .
2. Borttagning av innehåll: De två kända skadliga kartorna flaggades och togs bort från Steam Workshop .
3. Offentlig kommunikation: LEMORION bekräftade att spelets filer aldrig var komprometterade, stämplade RAT-påståendena som "100% falska" och uppmanade spelare att inte klicka på några länkar i det komprometterade Discord . Utvecklaren rengjorde också den infekterade administratörsdatorn och kontaktade Discord-supporten för att återta kontrollen över servern .

Steam-communityts reaktioner

Meccha Chameleon-communityn svarade med oro och frustration. På Steam-forum och Reddit uttryckte spelare chock över att anpassade kartor – inte körbara filer – kunde leverera skadlig kod, vilket utmanade den långlivade uppfattningen att Workshop-innehåll är säkert .

Viktiga community-reaktioner inkluderade :

• Spelare rapporterade infektioner efter att ha spelat de misstänkta kartorna och körde virussökningar för bekräftelse
• Varningar om att inte ladda ner några Meccha Chameleon Workshop-kartor förrän situationen lösts
• Kritik mot Valve för att de inte har starkare innehållsskydd på Workshop

Bredare säkerhetsimplikationer för Steam Workshop-ekosystemet

Meccha Chameleon-incidenten belyste en grundläggande säkerhetslucka som sträcker sig långt bortom ett enskilt spel:

• Körning av kod på Blueprint-nivå: Att ett spels eget skriptsystem kan beväpnas för att utföra godtyckliga systemkommandon innebär att risken gäller alla Steam-spel som tillåter användarskapade skript utan sandlådeskydd .
• Förtroendet urholkat: Steam Workshop har länge setts som ett halvofficiellt, kurerat utrymme. Denna attack visade att illasinnade aktörer kan publicera till synes legitimt innehåll som kringgår Valves moderering .
• En formell cybersäkerhetsvarning utfärdades via Govly, som noterade att Valve Corporation nu står inför en trovärdig Workshoperelaterad malware-risk som fått lite offentlig uppmärksamhet .
• Rekommenderade åtgärder inkluderar att skanna Workshop-uppladdningar för inbäddad systemkommandoexekvering, sandlåda Blueprint/VScript-miljöer och utbilda spelare att behandla Workshop-innehåll med samma försiktighet som nedladdningar från tredje part .

Sammanfattning

Incidenterna med Meccha Chameleon i juli 2026 visar att Steam Workshop-innehåll kan användas som en fungerande leveransväg för skadlig kod, även när spelet i sig är säkert. Utvecklaren agerade snabbt för att lappa säkerhetshålet, men Discord-hacket exponerade de kaskadartade konsekvenserna av ett enda infekterat system.

Spelare som spelade "Laser Tag Neon" eller "Chroma Grid Arena" efter den 15 juli rekommenderas att kontrollera sin Dokument-mapp efter en fil med namnet s.bat och köra en fullständig antivirussökning . Tills den officiella Discord-servern är helt återställd, undvik att klicka på några länkar som publiceras där.