Το Meccha Chameleon βρέθηκε στο επίκεντρο ενός περιστατικού ασφαλείας, καθώς κακόβουλα maps που διανεμήθηκαν μέσω του Steam Workshop χρησιμοποιήθηκαν για την εγκατάσταση malware σε υπολογιστές παικτών, ενώ στη συνέχεια παραβιάστηκε και ο επίσημος Discord server του παιχνιδιού.
Το πρόβλημα δεν εντοπίστηκε στο ίδιο το Meccha Chameleon, αλλά σε περιεχόμενο που είχε δημιουργηθεί και ανέβει στο Steam Workshop από τρίτους. Σύμφωνα με τις πληροφορίες που έχουν δημοσιευτεί για το περιστατικό, κακόβουλος κώδικας είχε ενσωματωθεί σε custom maps και μπορούσε να εκτελεστεί στους υπολογιστές χρηστών που τα κατέβαζαν.
Η μέθοδος εκμεταλλευόταν Unreal Engine assets και Blueprints που περιλαμβάνονταν στα maps. Ο κώδικας μπορούσε να δημιουργήσει και να εκτελέσει αρχεία στον υπολογιστή του χρήστη και να χρησιμοποιήσει κρυφές εντολές PowerShell για επικοινωνία με εξωτερικό server και λήψη επιπλέον payloads.
Οι developers προχώρησαν σε ενημέρωση του παιχνιδιού για να αντιμετωπίσουν την ευπάθεια και διευκρίνισαν ότι το ίδιο το Meccha Chameleon δεν περιέχει malware. Οι παίκτες καλούνται να χρησιμοποιούν την τελευταία έκδοση του παιχνιδιού και να είναι ιδιαίτερα προσεκτικοί με περιεχόμενο του Steam Workshop που είχε ληφθεί πριν από τη διόρθωση του προβλήματος.
Η κατάσταση πήρε διαφορετική τροπή όταν ένας system engineer της ομάδας ανάπτυξης μολύνθηκε κατά τη διαδικασία διερεύνησης ενός από τα κακόβουλα maps. Σύμφωνα με την ενημέρωση των developers, ο επιτιθέμενος κατάφερε στη συνέχεια να παρακάμψει την προστασία δύο παραγόντων του λογαριασμού του στο Discord.
Ακολούθησε η παραβίαση του επίσημου Discord server του Meccha Chameleon. Οι επιτιθέμενοι άλλαξαν τα permissions και απέκλεισαν μέλη της ομάδας ανάπτυξης, με αποτέλεσμα οι developers να χάσουν τον έλεγχο του server και να προειδοποιήσουν τους παίκτες να μην τον χρησιμοποιούν μέχρι να επιλυθεί η κατάσταση.
Η ομάδα ανάπτυξης τόνισε ότι η παραβίαση του Discord δεν σημαίνει ότι απέκτησαν πρόσβαση στα αρχεία ή στον πηγαίο κώδικα του παιχνιδιού. Ο υπολογιστής του μηχανικού που μολύνθηκε δεν είχε πρόσβαση στα source files και στη συνέχεια έγινε format.
Το περιστατικό αναδεικνύει παράλληλα τους κινδύνους που μπορούν να προκύψουν από περιεχόμενο που δημιουργείται από χρήστες και διανέμεται μέσω υπηρεσιών όπως το Steam Workshop. Στην περίπτωση του Meccha Chameleon, το πρόβλημα έχει πλέον διορθωθεί από τους developers, όμως όσοι είχαν κατεβάσει ύποπτα custom maps πριν από την ενημέρωση καλούνται να ελέγξουν τα συστήματά τους.
