Meccha Chameleon, malware nascosto nelle mappe Steam Workshop e Discord ufficiale in mano a un hacker
Meccha Chameleon, l’indie da pochi euro che ha venduto oltre 15 milioni di copie ed è il fenomeno Steam del 2026, ha passato il weekend a rincorrere due incidenti di sicurezza collegati. Il gioco in sé non è compromesso: il problema è quello che ci gira intorno, cioè lo Steam Workshop e il canale Discord ufficiale.
Il 24 luglio il ricercatore Feint ha pubblicato su Medium l’analisi di una mappa Workshop chiamata Laser Tag Neon. Secondo il report, la mappa apriva per un istante un prompt dei comandi e scaricava uno script per installare malware, con il payload nascosto dentro un Blueprint di Unreal Engine 5, senza eseguibili visibili. Il punto tecnico è quello che rende la faccenda seria: Meccha Chameleon carica gli asset del Workshop direttamente nella sessione durante il matchmaking, quindi il download avviene senza che al giocatore venga chiesto nulla. La mappa aveva superato la revisione dello store.
Dalla mappa infetta al Discord sequestrato
La mappa è stata rimossa, ma Feint ha segnalato che al suo posto ne erano comparse di nuove. Gli sviluppatori, lemorion_1224, hanno chiuso la falla con la versione 3.1.0, e a quel punto la storia è peggiorata dall’altro lato. Kotaku ha raccontato che, mentre il team indagava sulla mappa malevola, il PC di un loro ingegnere è stato infettato: l’attaccante ha aggirato l’autenticazione a due fattori di Discord, preso i permessi del server e bannato tutto lo staff ufficiale. Lo stesso malware, nota Digit, ha permesso di dirottare l’account dell’amministratore.
Nel comunicato pubblicato sulla pagina Steam gli sviluppatori precisano che il file di gioco non è mai stato toccato, che il computer infetto era una macchina di test da cui è impossibile accedere ai sorgenti, e avvisano di non fidarsi degli annunci o dei link che continueranno a comparire sul Discord compromesso.
Il punto che resta è sulla moderazione del Workshop. Una mappa con dentro un payload ha superato la revisione dello store, e i giochi che caricano contenuti creati dagli utenti in automatico durante una partita hanno una superficie d’attacco che nessuna piattaforma ha ancora normato davvero. Chi ha giocato mappe custom di Meccha Chameleon negli ultimi giorni farebbe bene a controllare la cartella Documenti per file batch sospetti e a passare un antivirus.