Meccha Chameleon Workshop 地圖藏毒　官方 Discord 被 hack 全紀錄

講清楚先，今次出事嘅唔係遊戲本身嘅執行檔，而係 Workshop 嘅漏洞——呢個安全問題隨時會影響晒成個 Steam Workshop 生態 。

惡意地圖點樣散毒？

成件事由2026年7月24日開始，資安研究員 Feint（FeintBE） 喺 Reddit 出咗份詳細分析報告 。佢發現 Steam Workshop 上面有兩張自製地圖——「Laser Tag Neon」（Workshop ID 3765145606）同埋 「Chroma Grid Arena」——裡面俾人加咗隱藏嘅惡意 Blueprint 腳本 。

當玩家一載入呢啲地圖，個 Blueprint 就會自動觸發，閃一閃個命令提示字元視窗，然後成條惡意下載鏈就開始咗 ：

• Blueprint 會寫一個 batch 檔（s.bat）入玩家嘅 Documents 資料夾 。
• 個 batch 檔會偷偷開一個隱藏嘅 PowerShell 程序，仲 bypass 咗執行策略 。
• PowerShell 會去連線一個荷蘭嘅外部伺服器，想 download 第二階段嘅 payload，不過個 server 回返 404 error，即係最終 payload 冇落到来 。
• 呢個惡意程式有能力讀取玩家嘅私人檔案、上傳去遠端伺服器，甚至有可能執行勒索軟件或者 delete 晒啲資料 。

呢兩張毒地圖之後仲俾人用另一個名 「Neon Void Arena」 重新上載過 。據 Feint 嘅分析，呢張毒地圖根本過咗 Steam Workshop 嘅審查機制 。

重要提醒： 遊戲本身嘅執行檔從來冇俾人感染過，問題只係 Workshop 嘅自製內容出事 。

Discord 伺服器被 hack：連鎖反應

7月25日，就係 LEMORION 推出 Patch 3.2.0 封住 Workshop 漏洞嘅同一日，官方 Discord 伺服器就俾人 hack 咗 。

黑客係通過 一個 admin 嘅 backup 電腦 入手，繞過咗 2FA 安全驗證 。根據 Steam 社群嘅報告，好可能係開發團隊有人 download 咗嗰張毒地圖，搞到 admin 帳號密碼外洩 。

黑客入咗去之後做咗呢啲嘢 ：

• 剷咗伺服器嘅頻道結構
• ban 咗正版嘅 staff 成員
• 貼咗啲奇怪嘅威脅訊息同假病毒警告——仲屈個遊戲更新入面有 Remote Access Trojan（RAT）
• 周圍 send 惡意連結去毒害社群

開發商 LEMORION 點樣拆彈？

開發商 LEMORION 反應好快，同時喺三條戰線撲火：

1. Patch 3.2.0（7月25日）：封死咗個 Blueprint 漏洞，唔俾自製地圖再任意執行系統指令 。
2. 刪除毒圖： 兩張已知嘅惡意地圖已經喺 Steam Workshop 落架 。
3. 公開交代： LEMORION 確認遊戲檔案冇事，話 RAT 嘅指控係「100% 假的」，叫玩家千祈唔好㩒 Discord 入面嘅任何連結 。開發商亦都 wipe 咗嗰部中毒嘅 admin 電腦，並且聯絡咗 Discord 官方去攞返個伺服器控制權 。

Steam 社群點反應？

Meccha Chameleon 嘅玩家當然好震驚同嬲。喺 Steam 討論區同 Reddit 上面，好多人都話冇諗過 自製地圖——唔係執行檔—— 都可以散播惡意程式，以前成日覺得 Workshop 嘅內容好安全，而家成個信任機制都冧咗 。

主要反應包括 ：

• 有玩家話玩完啲可疑地圖之後真係中咗毒，要用防毒軟件掃一次先安心
• 呼籲大家暫時唔好 Download 任何 Meccha Chameleon 嘅 Workshop 地圖
• 批評 Valve 冇加強 Workshop 嘅內容掃描機制

對 Steam Workshop 生態嘅更大警示

Meccha Chameleon 今次事件暴露咗一個基本嘅安全漏洞，唔只係一隻 game 嘅問題：

• Blueprint 層面嘅程式碼執行： 遊戲嘅腳本系統竟然可以被利用去執行任意系統指令，呢個風險會影響所有容許玩家自製腳本但又冇做沙箱隔離嘅 Steam 遊戲 。
• 信任機制受損： Steam Workshop 一直俾人覺得係半官方、有監管嘅空間，但今次證明咗黑客係可以出到啲睇落正常嘅內容，繞過 Valve 嘅審查 。
• 官方網絡安全警報： Govly 發咗正式嘅網絡安全警報，話 Valve Corporation 而家面對住一個真實嘅 Workshop 惡意軟體風險，之前一直冇乜人關注 。
• 建議嘅防禦措施： 包括掃描 Workshop 上載內容有冇內嵌系統指令執行、將 Blueprint/VScript 環境沙箱化，同埋教育玩家要對 Workshop 內容保持同第三方下載一樣嘅警覺 。

總結

2026年7月嘅 Meccha Chameleon 事件說明咗，Steam Workshop 嘅內容可以成為一個有效嘅惡意軟體傳播渠道，就算遊戲本身好安全都冇用。開發商反應好快 patch 咗漏洞，但 Discord 被 hack 就展示咗一部中毒電腦可以引發嘅連鎖災難。

如果你喺7月15日之後玩過「Laser Tag Neon」或者「Chroma Grid Arena」，建議你 check 下 C:\Users\<你的用戶名>\Documents\ 入面有冇一個叫 s.bat 嘅檔案，有的話 delete 咗佢，然後用防毒軟件做一次完整掃描 。喺官方 Discord 未完全恢復之前，千祈唔好㩒任何入面嘅連結。