Khủng hoảng malware Meccha Chameleon: Bản đồ Steam Workshop lừa game thủ, dẫn đến hack server Discord

Malware lây lan qua bản đồ tùy chỉnh như thế nào?

Cuộc khủng hoảng bắt đầu vào ngày 24 tháng 7 năm 2026, khi nhà nghiên cứu bảo mật Feint (FeintBE) công bố một phân tích chi tiết trên Reddit . Anh đã phát hiện ra rằng hai bản đồ tùy chỉnh trên Steam Workshop – "Laser Tag Neon" (ID Workshop 3765145606) và "Chroma Grid Arena" – chứa các script độc hại ẩn bên trong hệ thống tạo script Blueprint của game .

Khi người chơi tải một trong những bản đồ này, Blueprint sẽ tự động kích hoạt và hiển thị một cửa sổ dòng lệnh (command prompt) trong chớp mắt. Những gì xảy ra tiếp theo là một chuỗi lây nhiễm malware hoàn chỉnh :

• Blueprint ghi một tệp batch (s.bat) vào thư mục Documents của người dùng .
• Tệp batch đó khởi chạy một tiến trình PowerShell ẩn với chính sách thực thi bị vô hiệu hóa .
• PowerShell kết nối đến một máy chủ bên ngoài (đặt tại Hà Lan) để tải xuống một tải trọng bổ sung (second-stage payload), mặc dù máy chủ này trả về lỗi 404, nghĩa là tải trọng này cuối cùng đã không được phát tán .
• Malware có khả năng đọc các tệp riêng tư, tải chúng lên một máy chủ từ xa, và thậm chí có thể thực thi ransomware hoặc xóa dữ liệu .

Các bản đồ bị xâm nhập sau đó đã được tải lên lại dưới những tên khác như "Neon Void Arena" . Theo phân tích của Feint, bản đồ độc hại đã vượt qua quy trình kiểm duyệt của Steam Workshop mà không bị phát hiện .

Quan trọng: Bản thân các tệp thực thi của game không bao giờ bị nhiễm. Vụ khai thác chỉ giới hạn trong nội dung tùy chỉnh của Workshop .

Hack server Discord: Một phản ứng dây chuyền

Vào ngày 25 tháng 7, cùng ngày LEMORION phát hành Bản vá 3.2.0 để sửa lỗ hổng Workshop, server Discord chính thức của game đã bị hack .

Kẻ tấn công đã giành được quyền truy cập thông qua máy tính dự phòng của quản trị viên, vượt qua bảo mật 2FA . Theo các báo cáo từ cộng đồng Steam, vụ vi phạm có thể xảy ra khi một nhà phát triển hoặc chủ sở hữu máy chủ đã tải bản đồ Workshop bị nhiễm độc, vô tình làm lộ thông tin đăng nhập quản trị .

Sau khi xâm nhập, hacker đã :

• Xóa toàn bộ cấu trúc kênh của server
• Cấm các thành viên ban quản trị hợp pháp
• Đăng các tin nhắn đe dọa kỳ quặc và cảnh báo virus giả mạo – bao gồm tuyên bố sai sự thật rằng bản cập nhật game có chứa Trojan truy cập từ xa (RAT)
• Gửi thư rác các liên kết độc hại nhắm vào cộng đồng

Phản ứng của nhà phát triển LEMORION

Nhà phát triển LEMORION đã hành động nhanh chóng để ngăn chặn thiệt hại trên ba mặt trận:

1. Bản vá 3.2.0 (ngày 25 tháng 7): Đóng lỗ hổng dựa trên Blueprint cho phép bản đồ tùy chỉnh thực thi các lệnh hệ thống tùy ý .
2. Gỡ bỏ nội dung: Hai bản đồ độc hại đã được xác định và gỡ khỏi Steam Workshop .
3. Truyền thông công khai: LEMORION xác nhận các tệp game chưa bao giờ bị xâm phạm, gắn mác các tuyên bố về RAT là "100% sai sự thật," và kêu gọi người chơi không nhấp vào bất kỳ liên kết nào trong Discord bị xâm nhập . Nhà phát triển cũng đã xóa sạch máy tính quản trị bị nhiễm và liên hệ với bộ phận hỗ trợ của Discord để giành lại quyền kiểm soát máy chủ .

Phản ứng của cộng đồng Steam

Cộng đồng Meccha Chameleon đã phản ứng với sự báo động và thất vọng. Trên các diễn đàn Steam và Reddit, người chơi bày tỏ sự sốc rằng các bản đồ tùy chỉnh – chứ không phải tệp thực thi – có thể phát tán malware, thách thức giả định lâu nay rằng nội dung Workshop là an toàn .

Các phản ứng chính của cộng đồng bao gồm :

• Người chơi báo cáo bị nhiễm sau khi chơi các bản đồ đáng ngờ và chạy quét virus để xác nhận
• Cảnh báo không tải bất kỳ bản đồ Workshop nào của Meccha Chameleon cho đến khi tình hình được giải quyết
• Chỉ trích Valve vì không có các biện pháp bảo vệ quét nội dung mạnh mẽ hơn trên Workshop

Hàm ý bảo mật rộng hơn cho hệ sinh thái Steam Workshop

Sự cố Meccha Chameleon đã làm nổi bật một lỗ hổng bảo mật cơ bản vượt xa một game đơn lẻ:

• Thực thi mã cấp Blueprint: Việc hệ thống script của chính game có thể bị vũ khí hóa để chạy các lệnh hệ thống tùy ý có nghĩa là rủi ro này áp dụng cho bất kỳ game Steam nào cho phép script do người dùng tạo mà không có sandbox .
• Niềm tin bị phá vỡ: Steam Workshop từ lâu đã được xem như một không gian bán chính thức, được quản lý. Cuộc tấn công này cho thấy những kẻ độc hại có thể xuất bản nội dung có vẻ hợp pháp nhưng lại vượt qua sự kiểm duyệt của Valve .
• Một cảnh báo an ninh mạng chính thức đã được đưa ra qua Govly, lưu ý rằng Tập đoàn Valve hiện phải đối mặt với một rủi ro malware Workshop đáng tin cậy mà trước đây ít nhận được sự chú ý của công chúng .
• Các biện pháp giảm thiểu được khuyến nghị bao gồm quét các bản tải lên Workshop để tìm hành vi thực thi lệnh hệ thống nhúng, tạo môi trường sandbox cho Blueprint/VScript, và giáo dục người chơi coi nội dung Workshop thận trọng như các bản tải xuống của bên thứ ba .

Kết luận

Các sự cố Meccha Chameleon tháng 7/2026 chứng minh rằng nội dung Steam Workshop có thể đóng vai trò là một vector phát tán malware khả thi, ngay cả khi bản thân game vẫn an toàn. Mặc dù nhà phát triển đã hành động nhanh chóng để vá lỗ hổng, vụ hack Discord đã phơi bày những hậu quả dây chuyền từ một hệ thống bị nhiễm duy nhất.

Người chơi đã chơi "Laser Tag Neon" hoặc "Chroma Grid Arena" sau ngày 15 tháng 7 nên kiểm tra thư mục Documents để tìm tệp có tên s.bat và chạy quét toàn bộ phần mềm diệt virus . Cho đến khi server Discord chính thức được khôi phục hoàn toàn, hãy tránh nhấp vào bất kỳ liên kết nào được đăng ở đó.