Карти майстерні Meccha Chameleon поширюють шкідливе програмне забезпечення: що потрібно знати

Meccha Chameleon стала найдивнішою історією успіху року, а цього тижня до неї додалася ще й найдивніша проблема безпеки. Гра в хованки вартістю 6 доларів від японських розробників lemorion1224 та haganeiro_fn була продана тиражем 15 мільйонів копій менш ніж за місяць, чого достатньо, щоб зробити її бестселером 2026 року, випередивши EA Sports FC, Resident Evil Requiem, Forza Horizon 6, ARC Raiders та Slay the Spire II. У червні вона посіла друге місце за доходами від ПК на низці західних ринків після Fortnite, випереджаючи Counter-Strike 2, Valorant та League of Legends, згідно з даними Newzoo, опублікованими GamesIndustry.biz. Потім деякі з її карт Workshop почали непомітно розповсюджувати шкідливе програмне забезпечення.

Проблема виникла в публікації на Medium від користувача Feint, яку підхопив Kotaku. а потім PC Gamer. Фінт почав копати після того, як друзі помітили щось дивне під час матчу: чорне вікно консолі, яке з'явилося приблизно на секунду під час завантаження карти Майстерні. Він знайшов карту, яка виглядала абсолютно нормально, але приховувала дроппер.

«...звичайна, здавалося б, карта майстерні, яка містила щось схоже на завантажувач шкідливого програмного забезпечення, незважаючи на те, що пройшла перевірку в майстерні».

— Фінт

Папка містила лише стандартні файли ресурсів Unreal Engine 5, жодних виконуваних файлів та скриптів, саме тому вона не пройшла рецензію. Корисне навантаження знаходилося всередині Blueprint, замаскованого під контролер навколишнього середовища або освітлення. На уражених картах він запускався самостійно під час завантаження рівня, записував пакетний файл у папку «Документи» гравця, а потім запускав прихований процес PowerShell для отримання другого скрипта із зовнішнього сервера та його запуску. Вердикт Фінта був однозначним: елемент «дуже ймовірно шкідливий», навіть якщо він не міг спостерігати за виконанням кожної ланки в ланцюжку. Він не міг придумати законної причини для карти записувати пакетний файл у папку «Документи», а потім витягувати та запускати інший з Інтернету.

Деякий час другий етап був чорною скринькою, оскільки сервер був офлайн, коли проводився перший аналіз. Пізніше оновлення звіту закрило цю прогалину, і це найгірше: відновлений скрипт встановив трояна віддаленого доступу, надаючи зловмиснику дистанційне керування зараженими ПК. Це перетворює цю дивацтво з дивацтва на справжній компроміс для будь-кого, хто запустив уражену карту до встановлення патча.

Першою позначеною картою була Laser Tag Neon. Після її появи на її місці з'явилася інша під назвою Chroma Grid Arena, що цілком очікувано: один список було видалено, а новий розміщено за ним. Обидві карти спиралися на абсолютно нові облікові записи завантажувачів з вимкненими коментарями та оцінками, що є типом списків, які варто пропустити одразу.

Розробник Haganeiro підтвердив виправлення у своєму дописі на X. Оновлення 3.1.0 усуває вразливість, яка дозволяла картам Workshop виконувати код, і студія заявила, що шкідливе програмне забезпечення вимкнено на уражених картах як до, так і після патчу. Усі виявлені наразі шкідливі карти було видалено, хоча ніщо не заважає появі нових пізніше.

Проблеми не обмежилися картами. Офіційний Discord гри, який має майже 100 000 учасників, був зламаний одночасно. У дописі в блозі Steam студія заявила, що звернулася до служби підтримки Discord і може створити новий сервер, якщо старий не вдасться відновити. Розробник lemorion1224 описав ланцюжок дій: комп'ютер системного інженера був заражений під час виправлення вразливості на карті, і зловмисник використав цей плацдарм, щоб обійти двофакторну автентифікацію інженера, переписати дозволи сервера та забанити персонал. Одна відповідь від Джеффа на X: «Твій Discord в жопе, чувак», вловила настрій. Гравців попередили, щоб не натискати на будь-які підозрілі посилання, розміщені на скомпрометованому сервері.

Якщо ви нещодавно грали на користувацьких картах Meccha Chameleon, очищення просте. Оновіть систему до версії 3.1.0. Виконайте сканування за допомогою чогось на кшталт Malwarebytes. Перевірте папки «Документи» та «Тимчасові» на наявність незнайомих, нещодавно створених файлів.bat, а також перегляньте записи автозавантаження та планувальник завдань на наявність чогось невідомого. Підписка на карту сама по собі нічого не запускає; код спрацьовує на початку матчу, тому, якщо ви лише підписалися і ніколи не запускали його, достатньо скасувати підписку.

Я сам не граю в хованки, оскільки ігровий час витрачаю на повільніші, сюжетні світи, тому це ніколи не мала бути моя основна гра. Мене змушує читати історія навколо неї: дебют за 6 доларів, який перевершив майже всі інші, піднявшись з 5 мільйонів продажів лише за 10 днів до жанру, якого ніхто не очікував, а потім конвеєр Workshop обернувся проти своїх власних гравців. Я все ще грав кілька раундів з друзями, але спочатку виправляв до версії 3.1.0 і дотримувався популярних карт зі справжньою історією коментарів.

Під специфікою криється важливий момент. Meccha Chameleon піднялася на користувацький контент та соціальну вірусність, і саме ця відкрита, орієнтована на користувачів поверхня була використана. Її низька ціна та низькі вимоги до специфікацій, риси, які аналітик Newzoo приписує комерційному запуску, також означають величезну, випадкову аудиторію, яка здебільшого не замислюватиметься про яскраву карту спільноти. Масштаб, відкритий моддинг та натовп, який не дбає про безпеку, роблять гру спокусливою мішенню, і це не остання спроба. В огляді PC Gamer базова гра все ще називається «чудово піднесеною інтерпретацією хованок», і шкідливе програмне забезпечення цього не змінює. Воно підвищує ціну ігнорування того, звідки беруться ваші завантаження з Майстерні.