Meccha Chameleon a traversé un sérieux incident de sécurité après la découverte de cartes malveillantes publiées sur le Steam Workshop. Ces créations pouvaient infecter le PC des joueurs et ont même permis aux attaquants de compromettre le compte d'un développeur, entraînant la prise de contrôle du serveur Discord officiel. Le studio Haganeiro a depuis déployé la mise à jour 3.1.0 pour corriger la faille et a confirmé ce lundi 27 juillet que son serveur Discord avait été entièrement restauré.
Une faille du Steam Workshop a compromis des joueurs de Meccha Chameleon
L'affaire a été révélée par le chercheur indépendant Feint après plusieurs signalements de joueurs voyant des fenêtres d'invite de commandes apparaître lors du chargement de cartes personnalisées.
Son enquête a identifié une carte baptisée Laser Tag Neon. Celle-ci contenait un code capable d'écrire un fichier batch dans le dossier Documents du joueur avant d'utiliser PowerShell afin de télécharger et d'exécuter une seconde charge malveillante hébergée sur un serveur externe.
La carte a rapidement été retirée du Steam Workshop. Peu après, Feint a toutefois signalé l'apparition d'une nouvelle carte malveillante nommée Chroma Grid Arena, montrant que les attaques se poursuivaient avant la correction officielle.
La mise à jour 3.1.0 de Meccha Chameleon corrige la vulnérabilité
Le studio Haganeiro a réagi avec la mise à jour 3.1.0, qui corrige la vulnérabilité exploitée par ces cartes personnalisées.
Dans son message publié sur Steam, le développeur indique que le problème est désormais résolu pour les joueurs ayant installé cette version. Les joueurs qui n'ont pas encore mis leur jeu à jour sont donc invités à le faire immédiatement avant de télécharger ou de lancer de nouvelles cartes créées par la communauté.
Le serveur Discord officiel restauré après le piratage
L'incident ne s'est pas limité au Steam Workshop. Les attaquants sont également parvenus à compromettre un compte de développeur, ce qui a conduit à la prise de contrôle du serveur Discord officiel.
Dans une communication publiée sur Steam dans la matinée de ce lundi 27 juillet, Haganeiro a annoncé que la situation était revenue à la normale.
Le studio précise que tous les comptes des pirates ont été bannis et invite désormais les joueurs à rejoindre le serveur officiel via un nouveau lien Discord. Cette annonce marque le retour des principaux canaux de communication de la communauté après plusieurs jours de perturbations.
Une vigilance toujours recommandée pour les joueurs
Même si la faille est désormais corrigée et que le serveur Discord a été récupéré, cet incident rappelle que les contenus créés par la communauté peuvent parfois être détournés à des fins malveillantes.
Les joueurs de Meccha Chameleon ont donc intérêt à vérifier qu'ils utilisent bien la version 3.1.0 ou une version plus récente avant d'explorer de nouvelles cartes du Steam Workshop.
Cette réaction rapide du studio a permis de limiter les conséquences, mais la prudence reste de mise lorsqu'un problème de sécurité touche un jeu connecté.
