Meccha Chameleon Workshopin kartat levittävät haittaohjelmia: Mitä sinun tulee tietää

Meccha Chameleon on ollut vuoden omituisin menestystarina, ja tällä viikolla se lisäsi vuoden omituisimman tietoturvaongelman. Japanilaisten kehittäjien lemorion1224:n ja haganeiro_fn:n kuuden dollarin piilospeli myi 15 miljoonaa kappaletta alle kuukaudessa, mikä teki siitä vuoden 2026 myydyimmän pelin tähän mennessä ohittaen EA Sports FC:n, Resident Evil Requiemin, Forza Horizon 6:n, ARC Raidersin ja Slay the Spire II:n. Kesäkuussa se oli toiseksi paras PC-peli useilla länsimarkkinoilla Fortniten jälkeen, Counter-Strike 2:n, Valorantin ja League of Legendsin edellä, GamesIndustry.bizin jakamien Newzoon lukujen mukaan. Sitten jotkut sen Workshop-kartoista alkoivat hiljaa pudottaa haittaohjelmia.

Ongelma nousi esiin käyttäjän Feint Medium-sivustolla julkaisemassa viestissä, jonka Kotaku nappasi. ja sitten PC Gamer. Feint alkoi kaivaa esiin kavereiden huomattua pelin aikana jotain outoa: mustan konsoli-ikkunan, joka ponnahti esiin noin sekunniksi Workshop-kartan latautuessa. Hän löysi kartan, joka näytti täysin normaalilta, mutta jonka sisällä oli pipetti.

"...näennäisen tavallinen työpajakartta, joka sisälsi haittaohjelmapilottimia muistuttavan osan, vaikka se oli läpäissyt työpajan tarkistuksen."

— Harhautus

Kansio sisälsi vain tavallisia Unreal Engine 5 -resurssitiedostoja, ei suoritettavia tiedostoja tai skriptejä, minkä vuoksi se läpäisi tarkistuksen. Hyötysisältö sijaitsi Blueprintin sisällä, joka oli puettu ympäristön tai valaistuksen ohjaimeksi. Vaikutetuilla kartoilla se toimi itsenäisesti tason latautuessa, kirjoitti eräajotiedoston pelaajan Tiedostot-kansioon ja käynnisti sitten piilotetun PowerShell-prosessin hakeakseen toisen skriptin ulkoiselta palvelimelta ja suorittaakseen sen. Feintin tuomio oli tyly: kohde on "hyvin todennäköisesti haitallinen", vaikka hän ei pystynytkään katsomaan ketjun jokaista lenkkiä suoritusta. Hän ei keksinyt oikeutettua syytä sille, miksi kartta kirjoittaisi eräajotiedoston Tiedostot-kansioon ja sitten avaisi ja suorittaisi toisen internetistä.

Toinen vaihe oli jonkin aikaa musta laatikko, koska palvelin oli offline-tilassa ensimmäisen analyysin suorituksen aikana. Myöhempi päivitys korjasi aukon, ja se on pahin osa: palautettu skripti asensi etäkäyttötroijalaisen, joka antoi hyökkääjälle etähallinnan tartunnan saaneista tietokoneista. Tämä muuttaa tämän omituisuudesta todelliseksi kompromissiksi kaikille, jotka käynnistivät tartunnan saaneen kartan ennen korjausta.

Ensimmäinen merkitty kartta oli Laser Tag Neon. Sen ilmestyttyä sen tilalle ilmestyi toinen nimeltä Chroma Grid Arena, mikä on odotettavissa oleva kaava: yksi listaus poistettiin ja sen jälkeen lisättiin uusi. Molemmat perustuivat upouusiin lataajien tileihin, joissa kommentit ja arvioinnit oli kytketty pois päältä – sellainen listaus, joka kannatti ohittaa heti.

Kehittäjä Haganeiro vahvisti korjauksen kehittäjien X- julkaisussa. Päivitys 3.1.0 sulkee haavoittuvuuden, joka antoi Workshop-karttojen suorittaa koodia, ja studio sanoi, että haittaohjelma on poistettu käytöstä kyseisillä kartoilla sekä ennen korjausta että sen jälkeen. Kaikki tällä hetkellä tunnistetut haitalliset kartat on poistettu, mutta mikään ei estä uusien karttojen ilmestymistä myöhemmin.

Ongelmat eivät rajoittuneet kartoihin. Pelin virallinen Discord, jolla on lähes 100 000 jäsentä, hakkeroitiin samaan aikaan. Steam-blogikirjoituksessa studio kertoi ottaneensa yhteyttä Discord-tukeen ja saattavansa perustaa uuden palvelimen, jos vanhaa ei saada palautettua. Kehittäjä lemorion1224 esitti ketjun: järjestelmäinsinöörin tietokone sai tartunnan korjatessaan karttahaavoittuvuutta, ja hyökkääjä käytti tätä jalansijaa ohittaakseen järjestelmäinsinöörin kaksivaiheisen todennuksen, kirjoittaakseen palvelimen käyttöoikeudet uudelleen ja porttikiellon henkilökunnalle. Yksi Jeffin vastaus X-sivustolla: "Sinun Discordisi on perseestä, mies", herätti tunnelman. Pelaajia kiellettiin napsauttamalla epäilyttäviä linkkejä, jotka oli lähetetty vaarantuneelle palvelimelle.

Jos olet pelannut mukautettuja Meccha Chameleon -karttoja äskettäin, siivoaminen on helppoa. Päivitä versioon 3.1.0. Suorita skannaus esimerkiksi Malwarebytes-ohjelmalla. Tarkista Tiedostot- ja Väliaikaiskansioistasi tuntemattomat, äskettäin luodut.bat-tiedostot ja katso käynnistysmerkintöjä ja Tehtävien ajoitusta löytääksesi jotain, mitä et tunnista. Pelkkä kartan tilaaminen ei laukaise mitään; koodi käynnistyy, kun ottelu alkaa, joten jos olet vain tilannut kartan etkä ole koskaan käynnistänyt sitä, tilauksen peruuttaminen riittää.

En itse harrasta kilpailullista piilosilla pelaamista, koska peliaikani kuluvat hitaammissa, tarinavetoisissa maailmoissa, joten tästä ei koskaan tulisi pääpeliäni. Se, mikä saa minut lukemaan, on sen ympärillä oleva tarina: kuuden dollarin debyyttipeli, joka myi enemmän kuin mikään muu peli, nousi viidestä miljoonasta myydystä pelistä vain 10 päivässä genreen, jota kukaan ei osannut odottaa, ja sitten Workshop-tuotantoputki kääntyi omia pelaajiaan vastaan. Pelaisin silti muutaman kierroksen ystävieni kanssa, mutta päivittäisin ensin versioon 3.1.0 ja pitäytyisin suosituissa kartoissa, joilla on oikeat kommenttihistoriat.

Yksityiskohtien alla piilee suurempikin pointti. Meccha Chameleon nousi käyttäjäsisällön ja sosiaalisen viraalisuuden ansiosta, ja samaa avointa, käyttäjälähtöistä pintaa hyödynnettiin. Sen alhainen hinta ja alhaiset vaatimukset, ominaisuudet, joita Newzoon analyytikot pitivät kaupallisen sarjan ansioksi, tarkoittavat myös valtavaa, satunnaista yleisöä, joka ei useimmiten epäröi näyttävää yhteisökarttaa. Skaalaus, avoin modaus ja yleisö, joka ei ole tietoturvatietoinen, tekevät siitä houkuttelevan kohteen, eikä tämä ole viimeinen yritys. PC Gamerin arvostelussa peruspeliä kutsutaan edelleen "ihastuttavan hienostuneeksi piilosilla pelaamisen versioksi", eikä haittaohjelma muuta sitä. Se nostaa Workshop-latausten alkuperän huomiotta jättämisen hintaa.