Jesper Bengtson
Hackare har smugglat in en fjärrstyrningstrojan i en Workshop-karta för Steam-succén Meccha Chameleon.
Attacken slog mot en av årets största indiehits. Spelet har sålt runt 15 miljoner exemplar sedan lanseringen förra månaden och genererade samma månad den näst högsta pc-intäkten efter Fortnite, uppger Digital Trends.
Den infekterade kartan hette ”Laser Tag Neon” och laddades ned via Steam Workshop. När en match startade körde kartan automatiskt en dold Unreal Engine-blueprint som skrev en batch-fil till Dokument-mappen och startade en gömd PowerShell-process, beskriver säkerhetsforskaren Feint i sin genomgång från den 23 juli.
Skriptet hämtade sedan en andra fil vid namn steamb.bat från en extern server. Analysen visade att den installerade en Remote Access Trojan (RAT), en fjärrstyrningstrojan som gav angriparen möjlighet att ta kontroll över infekterade datorer på distans.
Discord-servern kapades samtidigt
Angreppet gick längre än till spelarnas datorer. En systemingenjörs testdator infekterades av samma skadliga kod, vilket lät angriparna kapa ett administratörskonto på spelets officiella Discord-server, gå förbi tvåstegsverifieringen och slänga ut personal, rapporterar Cyberinsider.
Utvecklarna betonar att spelets källkod inte var åtkomlig från den drabbade datorn, som beskrivs som en reservtestmaskin. Rykten som spreds via den kapade Discord-servern om att den senaste speluppdateringen skulle innehålla skadlig kod tillbakavisas.
Version 3.1.0 stänger hålet
Utvecklarna släppte version 3.1.0 för att täppa till sårbarheten. Uppdateringen ska ha stängt det utrymme som lät en Workshop-karta köra kod på spelarens system när den laddades in i en match, skriver Lowyat.net.
Feint konstaterade dock att nya skadliga kartor dök upp på Workshop efter att den ursprungliga hade tagits ned. Kombinationen av en färsk patch och angripare som fortsätter att ladda upp nya varianter gör att risken kvarstår för den som prenumererar brett på användarinnehåll.
Så här skyddar du dig som spelare
Har du spelat Meccha Chameleon med användarskapade kartor de senaste veckorna, bör du avbryta prenumerationen på allt Workshop-innehåll för spelet och radera de nedladdade kartorna. Kör sedan en fullständig antivirusskanning och byt lösenord på Steam-kontot, e-postkontot och nätbanken.
Fallet är ovanligt eftersom kartan inte gömde en klassisk körbar fil. Den utnyttjade i stället Unreal Engine 5:s Blueprint-logik för att skriva en batch-fil till användarens Dokument-mapp innan den dolda PowerShell-processen startades. En Workshop-karta behöver alltså inte vara ett program för att vara farlig, det räcker med att den utnyttjar spelmotorns egna funktioner.
Tumregeln den närmaste tiden är enkel: håll dig till kartor från kända skapare, läs kommentarer och betyg innan du prenumererar, och håll både Steam och antivirusskyddet uppdaterat.
