วิกฤตมัลแวร์ Meccha Chameleon: แผนที่ Steam Workshop ติดไวรัส นำไปสู่การแฮกเซิร์ฟเวอร์ Discord

จุดเริ่มต้นของวิกฤตคือวันที่ 24 กรกฎาคม 2569 เมื่อนักวิจัยด้านความปลอดภัย Feint (FeintBE) เผยแพร่การวิเคราะห์อย่างละเอียดบน Reddit เขาค้นพบว่าแผนที่ผู้เล่นสร้างขึ้นจาก Steam Workshop สองรายการ — "Laser Tag Neon" (รหัส Workshop 3765145606) และ "Chroma Grid Arena" — มีสคริปต์อันตรายซ่อนอยู่ภายในระบบ Blueprint ของเกม

เมื่อผู้เล่นโหลดแผนที่ใดแผนที่หนึ่ง Blueprint จะทำงานโดยอัตโนมัติและแสดงหน้าต่าง Command Prompt ขึ้นมาชั่วครู่ สิ่งที่เกิดขึ้นต่อจากนั้นคือลูกโซ่การส่งมอบมัลแวร์แบบสมบูรณ์ :

• Blueprint จะเขียนไฟล์แบตช์ (s.bat) ลงในโฟลเดอร์ Documents ของผู้ใช้
• ไฟล์แบตช์ดังกล่าวจะเรียกใช้กระบวนการ PowerShell ที่ซ่อนอยู่ โดยข้ามนโยบายการดำเนินการ
• PowerShell จะติดต่อเซิร์ฟเวอร์ภายนอก (ที่โฮสต์ในเนเธอร์แลนด์) เพื่อดาวน์โหลดเพย์โหลดระยะที่สอง แม้ว่าในกรณีนี้เซิร์ฟเวอร์จะคืนค่า 404 ซึ่งหมายความว่าเพย์โหลดไม่ได้ถูกส่งมาในท้ายที่สุด
• มัลแวร์ชนิดนี้มีความสามารถในการอ่านไฟล์ส่วนตัว อัปโหลดไปยังเซิร์ฟเวอร์ระยะไกล และอาจเรียกใช้แรนซัมแวร์หรือลบข้อมูลได้

แผนที่ที่ถูกบุกรุกเหล่านี้ถูกอัปโหลดซ้ำในภายหลังภายใต้ชื่ออื่น เช่น "Neon Void Arena" จากการวิเคราะห์ของ Feint แผนที่อันตรายเหล่านี้ผ่านกระบวนการตรวจสอบของ Steam Workshop มาโดยไม่มีใครตรวจพบ

ข้อควรจำ: ไฟล์ตัวเกมไม่เคยถูกติดไวรัส การโจมตีเกิดขึ้นเฉพาะกับเนื้อหาที่ผู้ใช้สร้างขึ้นใน Workshop เท่านั้น

การแฮก Discord: ผลพวงลูกโซ่

ในวันที่ 25 กรกฎาคม ซึ่งเป็นวันเดียวกับที่ LEMORION ปล่อย Patch 3.2.0 เพื่อแก้ไขช่องโหว่ของ Workshop เซิร์ฟเวอร์ Discord อย่างเป็นทางการของเกมก็ถูกแฮก

แฮกเกอร์เจาะระบบผ่าน เครื่องสำรองของแอดมิน โดยสามารถเลี่ยงการยืนยันตัวตนแบบ 2FA ได้ รายงานจากชุมชน Steam ชี้ว่าช่องโหว่นี้อาจเกิดจากการที่นักพัฒนาหรือเจ้าของเซิร์ฟเวอร์ดาวน์โหลดแผนที่ที่ติดไวรัสจาก Workshop ซึ่งนำไปสู่การเปิดเผยข้อมูลประจำตัวแอดมินโดยไม่ได้ตั้งใจ

เมื่อเข้ามาได้แล้ว แฮกเกอร์ :

• ลบโครงสร้างช่องทางของเซิร์ฟเวอร์
• แบนสมาชิกทีมงานที่ถูกต้อง
• โพสต์ข้อความที่ผิดปกติ ข่มขู่ และแจ้งเตือนไวรัสปลอม รวมถึงการอ้างเท็จว่าอัปเดตเกมมี Remote Access Trojan (RAT)
• สแปมลิงก์อันตรายเพื่อโจมตีชุมชน

การตอบสนองของนักพัฒนา LEMORION

LEMORION ตอบสนองอย่างรวดเร็วเพื่อควบคุมความเสียหายในหลายแนวรบ:

1. Patch 3.2.0 (25 กรกฎาคม): ปิดช่องโหว่ที่ใช้ Blueprint ซึ่งอนุญาตให้แผนที่กำหนดเองรันคำสั่งระบบโดยพลการได้
2. การลบเนื้อหา: แผนที่อันตรายทั้งสองแห่งถูกแจ้งและลบออกจาก Steam Workshop
3. การสื่อสารสาธารณะ: LEMORION ยืนยันว่าไฟล์เกมไม่เคยถูกบุกรุก ระบุว่าข้อกล่าวหาเรื่อง RAT นั้น 'เท็จ 100%' และเร่งเร้าผู้เล่นอย่าคลิกลิงก์ใดๆ ใน Discord ที่ถูกบุกรุก นักพัฒนายังได้ล้างข้อมูลเครื่อง PC แอดมินที่ติดไวรัส และติดต่อฝ่ายสนับสนุน Discord เพื่อกู้คืนการควบคุมเซิร์ฟเวอร์

ปฏิกิริยาจากชุมชน Steam

ชุมชน Meccha Chameleon ตอบสนองด้วยความตื่นตระหนกและหงุดหงิด ในฟอรัม Steam และ Reddit ผู้เล่นต่างตกตะลึงว่า แผนที่กำหนดเอง — ไม่ใช่ไฟล์เกม — สามารถส่งมัลแวร์ได้ ซึ่งท้าทายสมมติฐานที่มีมานานว่าเนื้อหาใน Workshop ปลอดภัย

การตอบสนองหลักของชุมชนรวมถึง :

• ผู้เล่นรายงานว่าติดเชื้อหลังจากเล่นแผนที่ต้องสงสัยและยืนยันด้วยการสแกนไวรัส
• คำเตือนไม่ให้ดาวน์โหลดแผนที่ Meccha Chameleon จาก Workshop ใดๆ จนกว่าสถานการณ์จะคลี่คลาย
• การวิพากษ์วิจารณ์ Valve ที่ไม่มีมาตรการคัดกรองเนื้อหาที่เข้มงวดกว่านี้ใน Workshop

ผลกระทบด้านความปลอดภัยในวงกว้างต่อระบบนิเวศ Steam Workshop

เหตุการณ์ Meccha Chameleon เน้นย้ำถึงช่องโหว่ด้านความปลอดภัยพื้นฐานที่ขยายออกไปไกลเกินกว่าเกมใดเกมหนึ่ง:

• การรันโค้ดในระดับ Blueprint: ข้อเท็จจริงที่ว่าระบบสคริปต์ของเกมนั้นๆ สามารถถูกใช้เป็นอาวุธเพื่อรันคำสั่งระบบโดยพลการได้ หมายความว่าความเสี่ยงนี้ใช้ได้กับทุกเกมบน Steam ที่อนุญาตให้มีสคริปต์ที่ผู้ใช้สร้างขึ้นโดยไม่มี Sandbox
• ความเชื่อมั่นที่ถูกทำลาย: Steam Workshop ถูกมองว่าเป็นพื้นที่กึ่งทางการที่ได้รับการคัดเลือกมาเป็นอย่างดี การโจมตีครั้งนี้แสดงให้เห็นว่าผู้ไม่หวังดีสามารถเผยแพร่เนื้อหาที่ดูเหมือนถูกต้องตามกฎหมายซึ่งเลี่ยงการกลั่นกรองของ Valve ได้
• การแจ้งเตือนด้านความปลอดภัยทางไซเบอร์ อย่างเป็นทางการถูกออกโดย Govly โดยระบุว่า Valve Corporation กำลังเผชิญกับความเสี่ยงมัลแวร์ใน Workshop ที่น่าเชื่อถือ ซึ่งยังไม่ได้รับความสนใจจากสาธารณชนมากนัก
• มาตรการบรรเทาผลกระทบที่แนะนำ รวมถึงการสแกนการอัปโหลด Workshop สำหรับการรันคำสั่งระบบที่ฝังตัว การทำ Sandbox ให้กับสภาพแวดล้อม Blueprint/VScript และการให้ความรู้ผู้เล่นให้ปฏิบัติต่อเนื้อหา Workshop ด้วยความระมัดระวังเช่นเดียวกับการดาวน์โหลดจากบุคคลที่สาม

สรุป

เหตุการณ์ Meccha Chameleon ในเดือนกรกฎาคม 2569 แสดงให้เห็นว่าเนื้อหาใน Steam Workshop สามารถทำหน้าที่เป็นพาหะส่งมัลแวร์ที่ใช้งานได้จริง แม้ว่าตัวเกมจะปลอดภัยก็ตาม ในขณะที่นักพัฒนาดำเนินการอย่างรวดเร็วเพื่อแพตช์ช่องโหว่ การแฮก Discord ก็เผยให้เห็นถึงผลกระทบแบบลูกโซ่จากระบบที่ติดไวรัสเพียงระบบเดียว

ผู้เล่นที่เล่นแผนที่ "Laser Tag Neon" หรือ "Chroma Grid Arena" หลังวันที่ 15 กรกฎาคม ควรตรวจสอบโฟลเดอร์ Documents ของตนว่ามีไฟล์ชื่อ s.bat หรือไม่ และเรียกใช้การสแกนไวรัสแบบเต็มรูปแบบ จนกว่าเซิร์ฟเวอร์ Discord ทางการจะถูกกู้คืนอย่างสมบูรณ์ หลีกเลี่ยงการคลิกลิงก์ใดๆ ที่โพสต์在那里

วิธีปฏิบัติตัวหลังเหตุการณ์

• เปิด File Explorer ไปที่ C:\Users\<ชื่อผู้ใช้>\Documents\ แล้วหาไฟล์ s.bat หากพบ ให้ลบออกทันที
• เรียกใช้โปรแกรมสแกนมัลแวร์ เช่น MalwareBytes หรือ Windows Defender เพื่อสแกนระบบแบบเต็ม
• อย่าเชื่อถือลิงก์หรือข้อความใดๆ ในเซิร์ฟเวอร์ Discord ของ Meccha Chameleon จนกว่าแอดมินจะประกาศว่ากู้คืนเรียบร้อยแล้ว
• อัปเดตเกมเป็นเวอร์ชันล่าสุด (3.2.0 หรือสูงกว่า) เพื่อให้แน่ใจว่าช่องโหว่ถูกปิดแล้ว