Meccha Chameleon подвергся двойной атаке: вирус заразил ПК разработчиков и захватил Discord

Игроков Meccha Chameleon предупредили срочно обновить игру и держаться подальше от оригинального Discord-сервера. Причина — вредоносные карты из Steam Workshop заразили ПК, а затем атакующие компрометировали аккаунт разработчика и захватили официальное сообщество.

Инцидент раскрыл независимый исследователь безопасности Feint, который разобрался с сообщениями о странных окнах командной строки, появляющихся при загрузке пользовательских карт Meccha Chameleon.

Оказалось, что карта Workshop под названием Laser Tag Neon содержала вредоносный код. Он записывал батник в папку Documents игрока, а затем пытался скачать через PowerShell второй вирус с внешнего сервера.

Карту удалили, но вскоре на её место встала ещё одна заражённая карта — Chroma Grid Arena.

Патч закрыл уязвимость

Разработчик Haganeiro подтвердил, что проблему исправили в обновлении 3.1.0.

«Уязвимость в пользовательских картах, описанная в обновлении 3.1.0, устранена. После установки проблем быть не должно», — сказал разработчик.

Разработчики также отключили вирусы на найденных картах, в том числе для тех, кто ещё не установил патч.

Feint позже проанализировал вторую стадию вируса и обнаружил, что это RAT — троян удалённого доступа, дающий полный контроль над заражённым компьютером.

Важно: просто подписаться на заражённую карту недостаточно для срабатывания вируса — её нужно было запустить в матче. Тем, кто загружал подозрительные карты до обновления, стоит запустить полную проверку на вирусы. Feint также рекомендует проверить папки Documents и Temp на недавно созданные .bat-файлы.

Discord-сервер захватили через инженера

Инцидент дошёл и до официального Discord-сервера игры с около 100 тысячами участников.

Разработчик LEMORION рассказал, что системный инженер использовал резервный компьютер при исследовании вирусных карт и случайно заразил его. Злоумышленник использовал скомпрометированный ПК, чтобы получить доступ к аккаунту инженера в Discord.

Затем атакующий обошёл двухфакторную аутентификацию, изменил права доступа на сервере и заблокировал всех модераторов.

Разработчики уточнили, что заражённый компьютер не имел доступа к исходному коду игры, файлам проекта или Steam-аккаунтам разработчиков. Они также опровергли сообщения в захваченном Discord-сервере, которые якобы утверждали, что официальная версия игры содержит вирус.

Игроков предупредили не доверять объявлениям и ссылкам в оригинальном Discord до восстановления сервера. Тем временем создан резервный сообщество для общения.

Сама игра на Steam безопасна после обновления до версии 3.1.0. Но те, кто загружал пользовательские карты до патча, все равно должны выполнить проверку системы на предмет вирусов.