Meccha Chameleon-krisen: Workshoppens kartor spred skadlig kod – och Discord-servern kapades

I slutet av juli 2026 drabbades det virala indie-spelet Meccha Chameleon av en ovanligt allvarlig säkerhetskris. Krisen hade två faser: först en kampanj med skadlig kod som spreds via anpassade kartor på Steam Workshop, och timmar senare kapades spelets officiella Discord-server – med över 100 000 medlemmar . Utvecklaren LEMORION fick snabbt agera för att lappa spelet, ta bort infekterat innehåll och återta kontrollen över communityhuben.

Det hela berodde inte på att spelets egna programfiler var infekterade, utan på en sårbarhet i själva Workshop-systemet – en svaghet som exponerade ett mycket större hot mot hela Steam-ekosystemet .

Så spreds skadlig kod via anpassade kartor

Krisen började den 24 juli 2026, när säkerhetsforskaren Feint (FeintBE) publicerade en detaljerad analys på Reddit . Han hade upptäckt att två anpassade kartor på Steam Workshop – "Laser Tag Neon" (Workshop-ID 3765145606) och "Chroma Grid Arena" – innehöll dolda skadliga skript inbäddade i spelets Blueprint-skriptsystem .

När en spelare laddade en av dessa kartor aktiverades Blueprint-skriptet automatiskt och ett kommandotolksfönster blinkade snabbt till. Det som sedan hände var en full kedja av skadlig kod :

• Blueprint-skriptet skrev en batch-fil (s.bat) i användarens Dokument-mapp .
• Den batch-filen startade en dold PowerShell-process med kringgådd exekveringspolicy .
• PowerShell kontaktade en extern server (hostad i Nederländerna) för att ladda ner en andra del av skadlig kod, men servern returnerade en 404-status, vilket innebar att laddningen inte slutfördes .
• Den skadliga koden hade kapacitet att läsa privata filer, ladda upp dem till en fjärrserver och potentiellt utföra utpressningsprogram (ransomware) eller radera data .

De komprometterade kartorna laddades senare upp igen under alternativa namn som "Neon Void Arena" . Enligt Feints analys hade den skadliga kartan passerat Steams granskningsprocess utan att upptäckas .

Viktigt: Spelets egna körbara filer var aldrig infekterade. Exploateringen var isolerad till Workshopens anpassade innehåll .

Discord-serverhacket: En dominoeffekt

Den 25 juli, samma dag som LEMORION släppte Patch 3.2.0 för att åtgärda Workshop-exploateringen, hackades spelets officiella Discord-server .

Angriparen fick tillgång via en administratörs backup-dator och kringgick 2FA-säkerheten . Enligt rapporter på Steam Forum kan intrånget ha orsakats av att en utvecklare eller serverägare laddade ner den infekterade Workshop-kartan, vilket oavsiktligt exponerade administratörsuppgifter .

Väl inne :

• Raderade hackern serverns kanalstruktur
• Bannlyste legitima personalmedlemmar
• Publicerade bisarra, hotfulla meddelanden och falska virusvarningar – bland annat falska påståenden om att speluppdateringen innehöll en fjärråtkomsttrojan (RAT)
• Spammade skadliga länkar riktade mot communityn

Utvecklaren LEMORIONS åtgärder

Utvecklaren LEMORION agerade snabbt för att begränsa skadan på tre fronter:

1. Patch 3.2.0 (25 juli): Stängde Blueprint-exploateringen som tillät anpassade kartor att utföra godtyckliga systemkommandon .
2. Borttagning av innehåll: De två kända skadliga kartorna flaggades och togs bort från Steam Workshop .
3. Offentlig kommunikation: LEMORION bekräftade att spelets filer aldrig var komprometterade, stämplade RAT-påståendena som "100% falska" och uppmanade spelare att inte klicka på några länkar i det komprometterade Discord . Utvecklaren rengjorde också den infekterade administratörsdatorn och kontaktade Discord-supporten för att återta kontrollen över servern .

Steam-communityts reaktioner

Meccha Chameleon-communityn svarade med oro och frustration. På Steam-forum och Reddit uttryckte spelare chock över att anpassade kartor – inte körbara filer – kunde leverera skadlig kod, vilket utmanade den långlivade uppfattningen att Workshop-innehåll är säkert .

Viktiga community-reaktioner inkluderade :

• Spelare rapporterade infektioner efter att ha spelat de misstänkta kartorna och körde virussökningar för bekräftelse
• Varningar om att inte ladda ner några Meccha Chameleon Workshop-kartor förrän situationen lösts
• Kritik mot Valve för att de inte har starkare innehållsskydd på Workshop

Bredare säkerhetsimplikationer för Steam Workshop-ekosystemet

Meccha Chameleon-incidenten belyste en grundläggande säkerhetslucka som sträcker sig långt bortom ett enskilt spel:

• Körning av kod på Blueprint-nivå: Att ett spels eget skriptsystem kan beväpnas för att utföra godtyckliga systemkommandon innebär att risken gäller alla Steam-spel som tillåter användarskapade skript utan sandlådeskydd .
• Förtroendet urholkat: Steam Workshop har länge setts som ett halvofficiellt, kurerat utrymme. Denna attack visade att illasinnade aktörer kan publicera till synes legitimt innehåll som kringgår Valves moderering .
• En formell cybersäkerhetsvarning utfärdades via Govly, som noterade att Valve Corporation nu står inför en trovärdig Workshoperelaterad malware-risk som fått lite offentlig uppmärksamhet .
• Rekommenderade åtgärder inkluderar att skanna Workshop-uppladdningar för inbäddad systemkommandoexekvering, sandlåda Blueprint/VScript-miljöer och utbilda spelare att behandla Workshop-innehåll med samma försiktighet som nedladdningar från tredje part .

Sammanfattning

Incidenterna med Meccha Chameleon i juli 2026 visar att Steam Workshop-innehåll kan användas som en fungerande leveransväg för skadlig kod, även när spelet i sig är säkert. Utvecklaren agerade snabbt för att lappa säkerhetshålet, men Discord-hacket exponerade de kaskadartade konsekvenserna av ett enda infekterat system.

Spelare som spelade "Laser Tag Neon" eller "Chroma Grid Arena" efter den 15 juli rekommenderas att kontrollera sin Dokument-mapp efter en fil med namnet s.bat och köra en fullständig antivirussökning . Tills den officiella Discord-servern är helt återställd, undvik att klicka på några länkar som publiceras där.