Mapy warsztatu Meccha Chameleon rozprzestrzeniają złośliwe oprogramowanie: co warto wiedzieć

Meccha Chameleon odniósł najdziwniejszy sukces tego roku, a w tym tygodniu wywołał najdziwniejsze obawy dotyczące bezpieczeństwa. Gra w chowanego, kosztująca 6 dolarów, od japońskich deweloperów lemorion1224 i haganeiro_fn, sprzedała się w 15 milionach egzemplarzy w niecały miesiąc, co wystarczyło, by stać się najlepiej sprzedającym się tytułem 2026 roku, wyprzedzając EA Sports FC, Resident Evil Requiem, Forza Horizon 6, ARC Raiders i Slay the Spire II. W czerwcu, według danych Newzoo udostępnionych przez GamesIndustry.biz, Meccha Chameleon zajęła drugie miejsce po Fortnite pod względem przychodów z PC na rynkach zachodnich, wyprzedzając Counter-Strike 2, Valorant i League of Legends. Następnie niektóre mapy z Workshop zaczęły po cichu generować złośliwe oprogramowanie.

Problem pojawił się w poście na Medium użytkownika o nicku Feint, podchwyconym przez Kotaku a potem PC Gamer. Feint zaczął grzebać, gdy znajomi zgłosili coś dziwnego podczas meczu: czarne okno konsoli, które pojawiło się na około sekundę podczas pobierania mapy z Warsztatu. Znalazł mapę, która wyglądała zupełnie normalnie, ale skrywała droppera.

„...pozornie zwyczajna mapa warsztatowa, która zawierała prawdopodobnie program do pobierania złośliwego oprogramowania, mimo że przeszła pozytywnie kontrolę warsztatową”.

— Zwód

Folder zawierał jedynie standardowe pliki zasobów Unreal Engine 5, żadnych plików wykonywalnych ani skryptów, co właśnie dlatego nie przeszedł weryfikacji. Ładunek znajdował się w Blueprintzie udającym kontroler oświetlenia lub otoczenia. Na mapach, których dotyczył problem, uruchamiał się automatycznie podczas ładowania poziomu, zapisywał plik wsadowy w folderze Dokumenty gracza, a następnie uruchamiał ukryty proces programu PowerShell, aby pobrać drugi skrypt z zewnętrznego serwera i go uruchomić. Werdykt Feinta był jednoznaczny: element jest „najprawdopodobniej złośliwy”, nawet jeśli nie mógł obserwować wykonywania każdego ogniwa w łańcuchu. Nie potrafił wymyślić uzasadnionego powodu, dla którego mapa zapisywałaby plik wsadowy w folderze Dokumenty gracza, a następnie ściągała i uruchamiała kolejny z internetu.

Przez pewien czas drugi etap był czarną skrzynką, ponieważ serwer był offline podczas pierwszej analizy. Późniejsza aktualizacja opisu zamknęła tę lukę, a najgorsze jest to, że odzyskany skrypt zainstalował trojana zdalnego dostępu, dając atakującemu zdalną kontrolę nad zainfekowanymi komputerami. To sprawia, że sytuacja z dziwactwa zmienia się w realne zagrożenie dla każdego, kto uruchomił podatną na atak mapę przed zainstalowaniem aktualizacji.

Pierwszą oflagowaną mapą był Laser Tag Neon. Po jej usunięciu, na jej miejscu pojawiła się kolejna, Chroma Grid Arena, co jest typowym schematem – usunięto jedną ofertę, a za nią dodano nową. Obie mapy opierały się na nowych kontach uploaderów z wyłączonymi komentarzami i ocenami – to typ oferty, którą warto pominąć od razu.

Deweloper Haganeiro potwierdził poprawkę w poście od twórców na X. Aktualizacja 3.1.0 usuwa lukę, która umożliwiała mapom Workshop wykonywanie kodu, a studio poinformowało, że złośliwe oprogramowanie jest wyłączone na dotkniętych mapach zarówno przed, jak i po łatce. Wszystkie obecnie zidentyfikowane złośliwe mapy zostały usunięte, ale nic nie stoi na przeszkodzie, aby pojawiły się nowe.

Problemy nie skończyły się na mapach. Oficjalny serwer Discord gry, z blisko 100 000 użytkowników, został zhakowany w tym samym czasie. W poście na blogu Steam studio poinformowało, że skontaktowało się z pomocą techniczną Discord i może uruchomić nowy serwer, jeśli starego nie uda się odzyskać. Deweloper lemorion1224 przedstawił przebieg ataku: komputer inżyniera systemowego został zainfekowany podczas naprawiania luki w zabezpieczeniach mapy, a atakujący wykorzystał ten punkt zaczepienia, aby ominąć dwuskładnikowe uwierzytelnianie inżyniera, nadpisać uprawnienia serwera i zbanować personel. Odpowiedź Jeffa na X: „Twój Discord jest popieprzony, człowieku”, oddała nastrój. Gracze zostali ostrzeżeni przed klikaniem w jakiekolwiek podejrzane linki zamieszczone na zainfekowanym serwerze.

Jeśli ostatnio grałeś na niestandardowych mapach Meccha Chameleon, czyszczenie jest proste. Zaktualizuj do wersji 3.1.0. Przeskanuj komputer programem takim jak Malwarebytes. Sprawdź foldery Dokumenty i Temp pod kątem nieznanych, ostatnio utworzonych plików.bat oraz przejrzyj wpisy startowe i Harmonogram zadań, szukając czegoś, czego nie rozpoznajesz. Samo zasubskrybowanie mapy nie powoduje żadnych działań; kod uruchamia się na początku meczu, więc jeśli tylko zasubskrybowałeś mapę i jej nie uruchomiłeś, wystarczy ją anulować.

Sam nie gram w chowanego, bo moje godziny gry skupiają się na wolniejszych, fabularnych światach, więc ta gra nigdy nie miała być moją główną. To, co mnie trzyma przy czytaniu, to historia, która ją otacza: debiut za 6 dolarów, który sprzedał się lepiej niż prawie wszystko, awans z 5 milionów sprzedanych egzemplarzy w zaledwie 10 dni do gatunku, którego nikt się nie spodziewał, a potem proces rozwoju Workshopu obrócił się przeciwko własnym graczom. Nadal rozegrałbym kilka rund ze znajomymi, ale najpierw zainstalowałbym aktualizację do wersji 3.1.0 i skupiłbym się na popularnych mapach z prawdziwymi historiami komentarzy.

Pod szczegółami kryje się ważniejsza kwestia. Meccha Chameleon zyskał popularność dzięki treściom użytkowników i wirusowości w mediach społecznościowych, a ta sama otwarta, napędzana przez użytkowników powierzchnia została wykorzystana. Niska cena i niskie wymagania sprzętowe, cechy, które analityk Newzoo przypisuje sukcesowi komercyjnemu, oznaczają również ogromną, niedzielną publiczność, która w większości nie będzie się zastanawiać nad efektowną mapą społeczności. Skala, otwarty mod i grono graczy, którym nie zależy na bezpieczeństwie, stanowią kuszący cel i nie będzie to ostatnia próba. Recenzja PC Gamera nadal nazywa grę podstawową „zachwycająco podniesioną wersją zabawy w chowanego”, a złośliwe oprogramowanie tego nie zmienia. Podnosi to koszt ignorowania źródła pobierania z Workshop.