《超級變色龍》惡意軟體危機：Steam 工作坊地圖成病毒載體，官方 Discord 伺服器隨之淪陷

2026 年 7 月下旬，爆紅的社群躲貓貓遊戲 《超級變色龍》（Meccha Chameleon） 陷入一場罕見且危險的資安危機。事件分為兩個階段：首先，惡意軟體透過 Steam 工作坊的自製地圖散布；數小時後，擁有超過 10 萬名成員的官方 Discord 伺服器遭駭客入侵並被徹底破壞 。開發商 LEMORION 緊急修補漏洞、移除受感染內容，並試圖奪回社群平台的控制權。

這場危機並非源於遊戲本身的執行檔有缺陷，而是 工作坊端的漏洞——凸顯了整個 Steam 工作坊生態系統潛在的更廣泛威脅 。

惡意軟體如何透過自製地圖散布

事件始於 2026 年 7 月 24 日，一名化名 Feint (FeintBE) 的資安研究員在 Reddit 上發表了詳細分析 。他發現 Steam 工作坊上的兩張自製地圖——「Laser Tag Neon」（工作坊 ID：3765145606）和 「Chroma Grid Arena」——內藏惡意腳本，這些腳本被隱藏在遊戲的 Blueprint 腳本系統中 。

當玩家載入這些地圖時，Blueprint 會自動觸發，並短暫閃過一個命令提示字元視窗。以下是完整的惡意軟體傳遞鏈 ：

• Blueprint 在使用者的 Documents 資料夾中寫入一個批次檔 (s.bat) 。
• 該批次檔隨後啟動一個隱藏的 PowerShell 程序，並繞過執行政策 。
• PowerShell 連線到位於荷蘭的外部伺服器，試圖下載第二階段的惡意負載，但該伺服器回傳 404 錯誤，代表惡意負載最終並未成功下載 。
• 該惡意軟體具備讀取私人檔案、上傳至遠端伺服器，甚至執行勒索軟體或刪除資料的能力 。

受感染的地圖後來以其他名稱（如 「Neon Void Arena」）重新上傳 。根據 Feint 的分析，這些惡意地圖通過了 Steam 工作坊的審查機制，未被檢測出來 。

重點： 遊戲本身的執行檔從未受到感染。漏洞僅存在於工作坊的自製內容中 。

Discord 伺服器遭駭：連鎖效應

7 月 25 日，就在 LEMORION 釋出 3.2.0 更新檔修復工作坊漏洞的同一天，遊戲的官方 Discord 伺服器也遭到駭客攻擊 。

駭客透過管理員的備用電腦繞過了雙重驗證（2FA）安全機制取得存取權限 。根據 Steam 社群的報導，此次入侵可能是因為開發者或伺服器擁有者下載了受感染的工作坊地圖，導致管理員憑證意外外洩 。

進入伺服器後，駭客 ：

• 刪除了伺服器的頻道結構
• 封鎖了合法的管理員帳號
• 張貼離譜的威脅訊息和假的病毒警告——包括謊稱遊戲更新檔含有遠端存取木馬（RAT）
• 向社群大量發送惡意連結

開發商 LEMORION 的應對措施

開發商 LEMORION 迅速從三個方面展開行動以控制損害：

1. 更新檔 3.2.0（7 月 25 日）：封堵了允許自製地圖執行任意系統指令的 Blueprint 漏洞 。
2. 移除內容： 已知的兩張惡意地圖已被標記並從 Steam 工作坊中移除 。
3. 公開溝通： LEMORION 確認遊戲檔案從未受損，並指出關於 RAT 的指控是「100% 錯誤的」，同時呼籲玩家不要點擊被駭 Discord 中的任何連結 。開發商也清除了受感染的備用電腦，並聯繫 Discord 支援團隊以奪回伺服器控制權 。

Steam 社群反應

《超級變色龍》社群以震驚和沮喪的情緒回應此事。在 Steam 論壇和 Reddit 上，玩家對於**自製地圖——而非執行檔——**能夠傳遞惡意軟體感到難以置信，這打破了長久以來認為工作坊內容是安全的想法 。

社群的主要反應包括 ：

• 玩家回報在遊玩可疑地圖後感染惡意軟體，並執行防毒掃描確認
• 呼籲在問題解決之前，不要下載任何《超級變色龍》的工作坊地圖
• 批評 Valve 未能對工作坊內容實施更嚴格的安全掃描機制

對 Steam 工作坊生態系統的廣泛資安啟示

《超級變色龍》事件凸顯了一個超越單一遊戲的根本性安全漏洞：

• Blueprint 層級的程式碼執行： 遊戲自身的腳本系統竟能被武器化來執行任意系統指令，這意味著任何允許使用者生成腳本但未進行沙盒隔離的 Steam 遊戲都面臨相同風險 。
• 信任被破壞： Steam 工作坊長期以來被視為半官方的、經過審核的空間。此次攻擊顯示，惡意行為者可以發布看似合法的內容，繞過 Valve 的審查機制 。
• 正式資安警報 已透過 Govly 平台發布，指出 Valve 公司現在面臨一個真實的、但尚未獲得廣泛關注的工作坊惡意軟體風險 。
• 建議的安全措施 包括掃描工作坊上傳內容中是否包含嵌入式系統命令執行、將 Blueprint/VScript 環境進行沙盒隔離，以及教育玩家應以與第三方下載內容相同的謹慎態度看待工作坊內容 。

結論

2026 年 7 月的《超級變色龍》事件證明，即使遊戲本體安全無虞，Steam 工作坊內容仍可成為有效的惡意軟體傳遞媒介。雖然開發商迅速修補漏洞，但 Discord 遭駭事件暴露了單一系統受感染可能引發的連鎖後果。

曾於 7 月 15 日後遊玩過「Laser Tag Neon」或「Chroma Grid Arena」的玩家，建議檢查 Documents 資料夾中是否存在名為 s.bat 的檔案，並執行一次全面的防毒掃描 。在官方 Discord 伺服器完全恢復正常之前，請避免點擊其上發布的任何連結。