Meccha Chameleon diffonde un RAT attraverso le mappe di Steam Workshop

🛡️ Executive Summary

• Mappe modificate nascondevano in asset Unreal Engine un Blueprint capace di scrivere ed eseguire file batch fuori dalla directory del gioco.
• La seconda fase installava un Remote Access Trojan, mentre un computer usato dagli sviluppatori è stato infettato durante l’analisi.
• La versione 3.1.0 blocca l’esecuzione malevola: chi ha avviato le mappe coinvolte deve controllare file, persistenza, credenziali e sessioni.

Mappe personalizzate distribuite attraverso lo Steam Workshop di Meccha Chameleon hanno sfruttato il sistema di caricamento dei contenuti per eseguire script su Windows e installare un Remote Access Trojan. La prima mappa confermata, Laser Tag Neon, appariva come un normale contenuto creato dalla comunità, ma conteneva un Blueprint di Unreal Engine 5 progettato per scrivere un file batch nella cartella Documenti, avviare PowerShell in modo nascosto e scaricare una seconda fase. Durante l’analisi dell’incidente è stato compromesso anche un computer di test degli sviluppatori, seguito dalla sottrazione di un account amministrativo del server Discord ufficiale. Il gioco base non conteneva malware ed è stato corretto con la versione 3.1.0.

La mappa malevola sembrava un normale contenuto Unreal Engine

L’indagine è iniziata dopo che alcuni giocatori hanno notato una finestra del prompt dei comandi comparire brevemente durante il caricamento di una mappa personalizzata. La directory dello Steam Workshop non conteneva eseguibili, DLL o script immediatamente riconoscibili, ma soltanto file standard di Unreal Engine 5 nei formati .pak, .ucas, .utoc, oltre al registro degli asset e all’immagine di anteprima. Questa struttura rendeva il contenuto apparentemente compatibile con una normale mappa e spiegava perché un controllo limitato alle estensioni o alla ricerca di intestazioni eseguibili non rilevasse il payload. L’analisi di AssetRegistry.bin ha però individuato un attore Blueprint denominato originariamente BP_RCE_Test, successivamente rinominato BP_AmbientController per apparire come un componente dedicato all’ambiente o all’illuminazione. Il vecchio nome era rimasto associato all’istanza collocata nella mappa, offrendo il primo elemento capace di collegare l’asset a una funzione di remote code execution. La logica personalizzata veniva attivata attraverso ReceiveBeginPlay, evento eseguito quando la mappa iniziava la propria attività, senza richiedere un’azione consapevole da parte del giocatore. Il caso evidenzia un rischio già emerso con il malware distribuito attraverso Wallpaper Engine e Steam Workshop: i contenuti generati dagli utenti possono utilizzare le funzioni legittime dell’applicazione ospitante per raggiungere il sistema operativo, pur senza includere un eseguibile tradizionale facilmente individuabile.

Il Blueprint scriveva un file batch nei Documenti

Il Blueprint nascosto costruiva un payload compatibile contemporaneamente con una struttura JSON e con la sintassi dei file batch, aggirando i limiti della funzione utilizzata per scrivere i dati. Il risultato veniva salvato come %USERPROFILE%\Documents\s.bat, quindi eseguito fuori dalla directory del gioco. Lo script avviava una sessione PowerShell invisibile, impostava il bypass dell’Execution Policy per il singolo processo e contattava l’indirizzo 31.57.34.228 per scaricare steamb.bat. Durante la prima analisi il server remoto non restituiva più il secondo componente, impedendo di stabilire se la catena consegnasse un infostealer, un loader o un’altra famiglia di malware. Il payload è stato però recuperato successivamente e identificato come installer di un RAT, capace di fornire all’attaccante controllo remoto persistente sui computer infetti.

‼️ BREAKING: We have obtained a demo video of one of the threat actors who developed the MECCHA CHAMELEON malware.

After it successfully detonates, they write:
"RCE F****G WORKS N***A"
"IM THE GOAT"

We are investigating who else is involved and will have more tomorrow. pic.twitter.com/finQLTMy4M

— International Cyber Digest (@IntCyberDigest) July 27, 2026

La distinzione temporale è importante: la prima valutazione poteva dimostrare con certezza l’esistenza del dropper e del tentativo di download, mentre soltanto il recupero della seconda fase ha permesso di qualificare l’impatto finale. La presenza di un RAT espone potenzialmente file, credenziali, sessioni browser, account Steam e Discord e qualsiasi altra informazione raggiungibile con i privilegi dell’utente. L’attacco non richiedeva che la vittima scaricasse consapevolmente un programma esterno: era sufficiente avviare una partita sulla mappa compromessa, mentre la sola sottoscrizione al contenuto senza esecuzione non avrebbe attivato la catena documentata.

Le mappe venivano ricaricate dopo la rimozione

La prima mappa individuata, Laser Tag Neon, corrispondeva all’elemento Workshop 3765145606 ed era stata pubblicata da un account Steam creato circa una settimana prima, con commenti e valutazioni disabilitati. Questi elementi non dimostrano da soli la presenza di malware, ma diventano indicatori rilevanti quando accompagnano codice progettato per scrivere file eseguibili e contattare un server esterno. Dopo la rimozione di Laser Tag Neon, contenuti con comportamento analogo sono ricomparsi con nomi differenti, tra cui Chroma Grid Arena, mostrando una capacità di sostituzione rapida delle risorse eliminate. La strategia sfruttava la distribuzione automatica delle mappe necessarie per entrare in determinate lobby: il giocatore poteva così ricevere il contenuto durante il normale flusso di una partita, senza visitare intenzionalmente la pagina dell’uploader o esaminare la reputazione del progetto. Steam indicava oltre ottocento elementi disponibili per il Workshop del gioco, una quantità che rende difficile affidare la sicurezza alla sola revisione manuale degli utenti. La dinamica avvicina le mod a una vera supply chain del gaming, nella quale la fiducia nel gioco, nella piattaforma e nel formato del contenuto viene trasferita automaticamente a componenti creati da soggetti esterni. La stessa logica compare negli attacchi che sfruttano estensioni, pacchetti e componenti firmati per distribuire malware: l’aggressore non deve convincere la vittima a eseguire un file sconosciuto quando può inserire il codice all’interno di un canale di aggiornamento o personalizzazione già considerato affidabile.

Un computer degli sviluppatori porta al furto del server Discord

Durante le attività necessarie a riprodurre e correggere il problema, un ingegnere di sistema del progetto ha eseguito la mappa malevola su un computer di test ed è stato infettato. Secondo la ricostruzione degli sviluppatori, l’attaccante ha successivamente superato la protezione a due fattori dell’account Discord dell’ingegnere, modificato i permessi del server ufficiale ed espulso i membri dello staff. Non sono stati pubblicati dettagli tecnici sufficienti per stabilire se il superamento della 2FA sia avvenuto mediante furto del token di sessione, controllo remoto del dispositivo, sottrazione dei cookie o un’altra tecnica; la presenza del RAT rende comunque plausibile l’acquisizione di una sessione già autenticata senza dover conoscere il codice temporaneo. Il computer compromesso era una macchina di riserva priva di accesso ai sorgenti e alle credenziali necessarie per pubblicare aggiornamenti del gioco, ed è stato successivamente formattato. Gli operatori hanno utilizzato il Discord sottratto per diffondere annunci falsi, sostenendo che l’aggiornamento ufficiale contenesse a sua volta un RAT e invitando gli utenti a seguire procedure non autorizzate. Gli sviluppatori hanno negato questa ricostruzione, separando chiaramente tre eventi: le mappe Workshop erano malevole, il computer di test era stato infettato durante l’indagine e il gioco distribuito attraverso Steam non era stato modificato. Il server Discord è stato recuperato il 26 luglio 2026 e gli account degli aggressori sono stati rimossi.

La patch 3.1.0 blocca l’esecuzione dalle mod

La versione 3.1.0, pubblicata il 25 luglio, ha introdotto una patch di sicurezza per le mappe MOD, eliminando il percorso che consentiva ai contenuti personalizzati di eseguire file estranei. Gli sviluppatori hanno successivamente dichiarato che la protezione era stata verificata anche con il supporto di Steam e che, dopo l’aggiornamento, le mappe coinvolte non erano più in grado di attivare il malware. La versione 3.2.0 ha ribadito che il problema risultava risolto e che il gioco base era sicuro. Per gli utenti che hanno soltanto sottoscritto una mappa malevola senza avviarla, la rimozione del contenuto dovrebbe essere sufficiente rispetto alla catena documentata. Chi ha invece giocato Laser Tag Neon, Chroma Grid Arena o altre mappe sospette prima dell’installazione della patch deve controllare la cartella %USERPROFILE%\Documents\, la directory %TEMP%, le applicazioni in avvio automatico e le attività pianificate, cercando soprattutto file batch creati in corrispondenza delle sessioni di gioco. Un controllo antivirus completo resta necessario, ma la conferma dell’installazione di un RAT richiede anche la revoca delle sessioni attive e la modifica delle credenziali da un dispositivo pulito. Steam, Discord, email e account finanziari devono essere considerati prioritari, perché cambiare una password senza invalidare cookie o token già sottratti può lasciare operativo l’accesso dell’attaccante.

Steam Workshop deve controllare il comportamento degli asset

L’incidente dimostra che la sicurezza dei contenuti generati dagli utenti non può limitarsi alla ricerca di eseguibili incorporati. I file malevoli erano asset Unreal Engine validi e utilizzavano il normale caricamento dei Blueprint per raggiungere funzioni che non avrebbero dovuto essere disponibili a una mappa distribuita dalla comunità. La correzione applicata dagli sviluppatori riduce il rischio specifico di Meccha Chameleon, ma la piattaforma deve affrontare un problema più ampio: ogni applicazione collegata allo Steam Workshop definisce autonomamente quali capacità concedere alle mod e quali verifiche eseguire prima del caricamento. Sandbox, allowlist delle funzioni, blocco della scrittura fuori dalle directory autorizzate e analisi comportamentale degli asset possono impedire che un contenuto apparentemente grafico diventi un downloader. La ricerca tecnica di Feint sulla mappa Laser Tag Neon documenta la catena dal Blueprint fino al RAT, mentre gli annunci ufficiali pubblicati dagli sviluppatori su Steam confermano la patch, la compromissione del computer di test e il successivo recupero del server Discord. Le affermazioni diffuse dagli aggressori attraverso il server sequestrato non devono essere confuse con i fatti verificati: il malware risiedeva nelle mappe personalizzate, non nell’eseguibile ufficiale del gioco aggiornato.