Il malware «Meccha Chameleon Workshop» ha causato il dirottamento di un server Discord e infezioni da RAT

Una falla di sicurezza nella pipeline di caricamento delle mod di Meccha Chameleon ha portato a una campagna di trojan di accesso remoto (RAT) e al dirottamento del server Discord ufficiale del gioco. L’incidente evidenzia come la logica di esecuzione delle risorse del gioco stesso, e non la piattaforma Steam Workshop in sé, possa essere trasformata in un meccanismo di diffusione di malware.

Come è stato scoperto l’attacco

La campagna è stata documentata per la prima volta dal reverse engineer indipendente Feint, dopo che alcuni giocatori avevano segnalato il breve lampeggiamento di una finestra del Prompt dei comandi durante il caricamento di una mappa personalizzata della community. Le indagini hanno ricondotto il comportamento a un upload su Workshop denominato «Laser Tag Neon», che conteneva una logica Blueprint nascosta basata su Unreal Engine 5, nonostante avesse superato la revisione di Workshop. Un secondo upload sospetto, «Chroma Grid Arena», è apparso brevemente in sostituzione prima di essere a sua volta rimosso.

All’interno del Blueprint dannoso

Quando un giocatore caricava la mappa infetta, un Blueprint originariamente denominato BP_RCE_Test (successivamente rinominato BP_AmbientController) veniva attivato automaticamente tramite l’evento BeginPlay di Unreal Engine. Anziché eseguire alcuna funzione relativa all’illuminazione o all’ambiente, esso costruiva un percorso di file e scriveva dati sul disco.

Il file scritto, denominato s.bat, veniva inserito nella cartella %USERPROFILE%Documents della vittima. Il suo contenuto era strutturato come un formato misto JSON/batch: si trattava di un JSON valido che, se eseguito direttamente, funzionava anche come script batch eseguibile.

Dal dropper al RAT

Una volta scritto, lo script si è riavviato autonomamente, quindi ha utilizzato un’istanza nascosta di PowerShell con un bypass della politica di esecuzione per scaricare uno script di seconda fase da un server di comando e controllo hardcoded. È stato successivamente confermato che tale payload di seconda fase installava un RAT persistente, fornendo agli autori dell’attacco il controllo remoto dei sistemi infetti.

Server Discord compromesso nel corso delle indagini

L’incidente si è aggravato quando una macchina di prova di riserva, utilizzata da un ingegnere di sistema che stava indagando sul malware, è stata a sua volta compromessa. Gli autori dell’attacco hanno sfruttato tale punto d’appoggio per aggirare l’autenticazione a due fattori sull’account Discord di un amministratore, modificare i permessi del server ed escludere membri dello staff ufficiale. L’appropriazione indebita ha interessato il server Discord ufficiale del gioco, che conta quasi 100.000 membri. L’accesso è stato successivamente ripristinato.

Risposta e precauzioni raccomandate

Gli sviluppatori hanno rilasciato la versione 3.1.0 per correggere la vulnerabilità e impedire alle mappe del Workshop di avviare processi esterni. Le mappe segnalate sono state rimosse dallo Steam Workshop. Il team di sviluppo ha confermato che il codice sorgente del gioco e i sistemi di produzione non sono stati compromessi.

Si consiglia ai giocatori che hanno caricato mappe personalizzate prima dell’aggiornamento di eseguire una scansione antivirus completa, verificare la presenza di file batch non autorizzati nelle cartelle %USERPROFILE%Documents e %TEMP%, controllare l’Utente Pianificatore di attività di Windows e le voci di avvio alla ricerca di meccanismi di persistenza, nonché effettuare l’aggiornamento alla versione 3.1.0 o successive.