Mapas da Meccha Chameleon Workshop espalham malware: o que você precisa saber.

Meccha Chameleon foi a história de sucesso mais estranha do ano, e esta semana adicionou o susto de segurança mais estranho do ano à sua lista. O jogo de esconde-esconde de US$ 6, desenvolvido pelos japoneses lemorion1224 e haganeiro_fn, vendeu 15 milhões de cópias em menos de um mês, o suficiente para torná-lo o título mais vendido de 2026 até o momento, superando EA Sports FC, Resident Evil Requiem, Forza Horizon 6, ARC Raiders e Slay the Spire II. Em junho, ficou em segundo lugar apenas para Fortnite em receita para PC em diversos mercados ocidentais, à frente de Counter-Strike 2, Valorant e League of Legends, de acordo com dados da Newzoo compartilhados pelo GamesIndustry.biz. Então, alguns de seus mapas da Oficina começaram a distribuir malware silenciosamente.

O problema veio à tona em uma postagem no Medium feita por um usuário chamado Feint, e foi repercutido pelo Kotaku. e então a PC Gamer. Feint começou a investigar depois que amigos notaram algo estranho durante uma partida: uma janela preta no console que apareceu por cerca de um segundo enquanto um mapa da Oficina estava sendo baixado. O que ele descobriu foi um mapa que parecia completamente normal, mas escondia um dropper.

"...um mapa de oficina aparentemente comum que continha o que parece ser um instalador de malware, apesar de ter passado pela revisão da oficina."

— Finta

A pasta continha apenas arquivos de recursos padrão do Unreal Engine 5, sem executáveis ou scripts, exatamente por isso passou pela revisão. O payload estava dentro de um Blueprint disfarçado de controlador de iluminação ou ambiente. Nos mapas afetados, ele era executado automaticamente durante o carregamento do nível, criava um arquivo em lote na pasta Documentos do jogador e, em seguida, iniciava um processo oculto do PowerShell para buscar um segundo script de um servidor externo e executá-lo. O veredicto de Feint foi direto: o item é "muito provavelmente malicioso", mesmo que ele não pudesse observar cada elo da cadeia em execução. Ele não conseguiu imaginar uma razão legítima para um mapa criar um arquivo em lote na pasta Documentos do jogador e, em seguida, baixar e executar outro da internet.

Por um tempo, a segunda etapa foi uma incógnita, pois o servidor estava offline quando a primeira análise foi executada. Uma atualização posterior do relatório corrigiu essa falha, e essa é a pior parte: o script recuperado instalou um Trojan de Acesso Remoto, dando ao invasor o controle remoto dos PCs infectados. Isso transforma o que era uma anomalia em uma verdadeira ameaça para qualquer pessoa que tenha executado um mapa afetado antes de aplicar a atualização.

O primeiro mapa sinalizado foi Laser Tag Neon. Depois que ele foi removido, outro chamado Chroma Grid Arena surgiu em seu lugar, o que é o padrão esperado: um mapa é removido e um novo é adicionado em seguida. Ambos utilizavam contas de upload novas, com comentários e avaliações desativados, o tipo de mapa que vale a pena ignorar imediatamente.

O desenvolvedor Haganeiro confirmou a correção em uma publicação da equipe de desenvolvimento no X. A atualização 3.1.0 corrige a vulnerabilidade que permitia a execução de código em mapas da Oficina, e o estúdio afirmou que o malware está desativado nos mapas afetados, tanto antes quanto depois da atualização. Todos os mapas maliciosos identificados até o momento foram removidos, embora nada impeça o surgimento de novos posteriormente.

Os problemas não pararam nos mapas. O servidor oficial do Discord do jogo, com quase 100.000 membros, foi hackeado no mesmo período. Em uma publicação no blog do Steam, o estúdio afirmou ter entrado em contato com o suporte do Discord e que poderia criar um novo servidor caso o antigo não pudesse ser recuperado. O desenvolvedor lemorion1224 explicou a sequência de eventos: o computador de um engenheiro de sistemas foi infectado enquanto ele corrigia a vulnerabilidade do mapa, e o invasor usou essa brecha para burlar a autenticação de dois fatores do engenheiro, reescrever as permissões do servidor e banir a equipe. Uma resposta de Jeff no servidor X, "Seu Discord está ferrado, cara", resumiu bem a situação. Os jogadores foram alertados para não clicarem em nenhum link suspeito publicado no servidor comprometido.

Se você jogou mapas personalizados do Meccha Chameleon recentemente, a limpeza é simples. Atualize para a versão 3.1.0. Execute uma verificação com um programa como o Malwarebytes. Verifique suas pastas Documentos e Temp em busca de arquivos.bat desconhecidos criados recentemente e examine suas entradas de inicialização e o Agendador de Tarefas em busca de qualquer coisa que você não reconheça. Inscrever-se em um mapa por si só não aciona nada; o código é executado quando a partida começa, então, se você apenas se inscreveu e nunca o iniciou, cancelar a inscrição é suficiente.

Eu não sou muito fã de jogos competitivos de esconde-esconde, já que minhas horas de jogo são dedicadas a mundos mais lentos e focados na história, então este nunca seria meu jogo principal. O que me mantém lendo é a história por trás dele: um jogo que estreou por US$ 6 e vendeu mais do que quase tudo, passando de 5 milhões de vendas em apenas 10 dias para um gênero que ninguém previu, e depois um sistema de desenvolvimento da Oficina Steam que se voltou contra seus próprios jogadores. Eu ainda jogaria algumas partidas com amigos, mas primeiro atualizaria para a versão 3.1.0 e jogaria mapas populares com um histórico de comentários relevante.

Há uma questão mais ampla por trás dos detalhes. O Meccha Chameleon se beneficiou do conteúdo gerado pelos usuários e da viralização nas redes sociais, e essa mesma superfície aberta e impulsionada pelos usuários foi o que acabou sendo explorada. Seu baixo preço e requisitos de hardware modestos, características que o analista da Newzoo atribuiu ao sucesso comercial, também significam um público enorme e casual que, em sua maioria, não se importa com um mapa da comunidade chamativo. Escala, modificações abertas e um público que não se preocupa com segurança fazem dele um alvo tentador, e esta não será a última tentativa. A análise da PC Gamer ainda considera o jogo base "uma versão deliciosamente sofisticada de esconde-esconde", e o malware não muda isso. Ele apenas aumenta o custo de ignorar a origem dos seus downloads da Oficina Steam.