Meccha Chameleon için Steam Workshop’a yüklenen bazı topluluk haritalarına zararlı yazılım yerleştirildi. Laser Tag Neon ve Chroma Grid Arena adlı haritaları çalıştıran oyuncuların bilgisayarlarına uzaktan erişim truva atı (RAT) indiren kodlar gönderildi. Haritalar kaldırılırken saldırıda kullanılan açık 3.1.0 güncellemesiyle kapatıldı.
Güvenlik araştırmacısı Feint, arkadaşlarının özel bir haritayı açarken kısa süreliğine komut istemi penceresi gördüğünü bildirmesi üzerine Workshop dosyalarını inceledi. Dosyalar ilk bakışta standart Unreal Engine 5 harita paketlerinden oluşuyordu ve ayrı bir çalıştırılabilir uygulama içermiyordu.
Harita açıldığında PowerShell çalışıyordu
Zararlı işlem, haritanın içine gizlenen Unreal Engine Blueprint koduyla başlatılıyordu. Harita yüklendiğinde kullanıcının Belgeler klasörüne s.bat adlı bir Windows komut dosyası yazılıyor, ardından PowerShell görünmeyen bir pencerede çalıştırılıyordu.
İlk komut dosyası, dışarıdaki bir sunucudan ikinci bir dosya indirerek geçici klasöre kaydediyor ve çalıştırıyordu. Sonradan ele geçirilen ikinci aşama dosyanın incelenmesi, bilgisayara kalıcı uzaktan erişim sağlayan bir RAT kurduğunu gösterdi. Saldırgan bu yazılım üzerinden etkilenen bilgisayarları uzaktan kontrol edebiliyordu.
Zararlı kod haritaya abone olunduğu anda değil, harita açılarak maç başlatıldığında çalışıyordu. Haritayı yalnızca Workshop kitaplığına ekleyen ancak oynamayan kullanıcılar, abonelikten çıkarak içeriği silebiliyor.
Discord sunucusu da ele geçirildi
Geliştirme ekibindeki bir sistem mühendisi, zararlı haritaları incelerken kullandığı test bilgisayarına virüs bulaştırdı. Saldırgan daha sonra mühendisin Discord hesabındaki iki aşamalı doğrulamayı aşarak yaklaşık 94 bin üyeli resmî sunucunun yönetim izinlerini ele geçirdi.
Sunucudaki ekip üyeleri uzaklaştırıldı ve oyunun resmî sürümünde zararlı yazılım bulunduğunu ileri süren sahte duyurular paylaşıldı. Geliştirici Haganeiro, virüs bulaşan test bilgisayarının oyun kaynaklarına erişemediğini ve Steam’deki resmî oyun dosyalarının değiştirilmediğini açıkladı.
Bilgisayar tamamen biçimlendirilirken Discord sunucusunun kontrolü de yeniden geliştirici ekibine geçti. Sunucudaki saldırgan hesaplar yasaklandı ve resmî davet bağlantısı tekrar kullanıma açıldı.
Etkilenen oyuncular ne yapmalı?
Meccha Chameleon’ın 3.1.0 güncellemesi, topluluk haritalarının oyunla ilgisi olmayan dosyaları çalıştırmasına imkân veren açığı kapattı. Geliştirici, 3.2.0 sürümünün notlarında düzeltmenin Steam Destek tarafından da kontrol edildiğini bildirdi. Oyunun resmî Steam sürümü güvenli olarak çalışmaya devam ediyor.
Laser Tag Neon veya Chroma Grid Arena haritalarını 3.1.0 güncellemesinden önce açan kullanıcıların Belgeler ve geçici dosyalar klasörlerinde yeni oluşturulmuş .bat dosyalarını kontrol etmesi gerekiyor. Başlangıç uygulamaları ile Görev Zamanlayıcı’ya eklenen tanınmayan işlemler de incelenmeli ve bilgisayarda tam zararlı yazılım taraması yapılmalı.
Workshop sayfasındaki yorumların kapalı olması, içeriği yükleyen hesabın kısa süre önce açılması ve haritanın yerleşik bir oyuncu kitlesine sahip olmaması güvenlik riski taşıyan içeriklerde karşılaşılan belirtiler arasında yer alıyor.
