Meccha Chameleon Workshop Maps verbreiten Malware: Was Sie wissen sollten

Meccha Chameleon hat sich als die ungewöhnlichste Erfolgsgeschichte des Jahres erwiesen und diese Woche mit dem wohl seltsamsten Sicherheitsvorfall des Jahres für Aufsehen gesorgt. Das 6-Dollar-Versteckspiel der japanischen Entwickler lemorion1224 und haganeiro_fn verkaufte sich in weniger als einem Monat 15 Millionen Mal und ist damit der bisher meistverkaufte Titel des Jahres 2026 – noch vor EA Sports FC, Resident Evil Requiem, Forza Horizon 6, ARC Raiders und Slay the Spire II. Laut Newzoo-Zahlen, die GamesIndustry.biz veröffentlichte, lag Meccha Chameleon im Juni in westlichen Märkten umsatztechnisch direkt hinter Fortnite auf dem zweiten Platz, vor Counter-Strike 2, Valorant und League of Legends. Dann tauchten plötzlich unbemerkt Schadsoftware-Pannen auf einigen Workshop-Karten auf.

Das Problem tauchte in einem Beitrag auf Medium auf, der von einem Nutzer namens Feint verfasst und von Kotaku aufgegriffen wurde. Und dann kam PC Gamer. Feint begann Nachforschungen anzustellen, nachdem Freunde während eines Matches etwas Ungewöhnliches bemerkt hatten: ein schwarzes Konsolenfenster, das für etwa eine Sekunde aufploppte, während eine Workshop-Karte heruntergeladen wurde. Was er fand, war eine Karte, die völlig normal aussah, aber einen Dropper verbarg.

„…eine scheinbar gewöhnliche Workshop-Karte, die anscheinend einen Malware-Dropper enthielt, obwohl sie die Workshop-Prüfung bestanden hatte.“

— Finte

Der Ordner enthielt lediglich Standard-Asset-Dateien der Unreal Engine 5, keine ausführbaren Dateien und keine Skripte. Genau deshalb wurde er auch freigegeben. Die Schadsoftware befand sich in einem Blueprint, der als Ambient- oder Beleuchtungscontroller getarnt war. Auf den betroffenen Karten lief sie beim Laden des Levels selbstständig, erstellte eine Batch-Datei im Dokumentenordner des Spielers und startete anschließend einen versteckten PowerShell-Prozess, um ein zweites Skript von einem externen Server abzurufen und auszuführen. Feints Urteil war eindeutig: Das Objekt sei „höchstwahrscheinlich schädlich“, auch wenn er nicht jeden einzelnen Schritt der Kette überwachen konnte. Er konnte sich keinen legitimen Grund vorstellen, warum eine Karte eine Batch-Datei im Dokumentenordner des Spielers erstellen und anschließend eine weitere aus dem Internet herunterladen und ausführen sollte.

Die zweite Phase blieb zunächst undurchsichtig, da der Server zum Zeitpunkt der ersten Analyse offline war. Ein späteres Update des Berichts schloss diese Lücke, und das ist der schlimmste Aspekt: Das wiederhergestellte Skript installierte einen Remote-Access-Trojaner, der Angreifern die Fernsteuerung infizierter PCs ermöglicht. Dadurch wird aus einer Kuriosität eine echte Gefahr für alle, die eine betroffene Karte vor dem Patch gestartet haben.

Die erste gemeldete Karte war Laser Tag Neon. Nachdem diese entfernt wurde, tauchte an ihrer Stelle eine andere namens Chroma Grid Arena auf – ein zu erwartendes Muster: Ein Eintrag wird gelöscht und ein neuer direkt danach platziert. Beide Karten stammten von brandneuen Uploader-Accounts, bei denen Kommentare und Bewertungen deaktiviert waren – solche Einträge sollte man besser meiden.

Entwickler Haganeiro bestätigte die Behebung des Fehlers in einem Beitrag der Entwickler auf X. Update 3.1.0 schließt die Sicherheitslücke, die es Workshop-Karten ermöglichte, Code auszuführen. Das Studio gab an, dass die Schadsoftware auf den betroffenen Karten sowohl vor als auch nach dem Patch deaktiviert ist. Alle aktuell identifizierten schädlichen Karten wurden entfernt, es ist jedoch nicht ausgeschlossen, dass später neue auftauchen.

Die Probleme beschränkten sich nicht nur auf die Karten. Der offizielle Discord-Server des Spiels mit fast 100.000 Mitgliedern wurde im selben Zeitraum gehackt. In einem Blogbeitrag auf Steam teilte das Studio mit, den Discord-Support kontaktiert zu haben und gegebenenfalls einen neuen Server einzurichten, falls der alte nicht wiederhergestellt werden könne. Entwickler lemorion1224 schilderte den Hergang: Der PC eines Systemtechnikers infizierte sich während der Behebung der Sicherheitslücke auf der Karte. Der Angreifer nutzte diese Schwachstelle, um die Zwei-Faktor-Authentifizierung des Technikers zu umgehen, die Serverberechtigungen zu ändern und die Mitarbeiter zu sperren. Eine Antwort von Jeff auf X – „Dein Discord ist im Arsch, Mann“ – brachte die Stimmung auf den Punkt. Spieler wurden davor gewarnt, verdächtige Links auf dem kompromittierten Server anzuklicken.

Falls du kürzlich benutzerdefinierte Meccha Chameleon-Karten gespielt hast, ist die Bereinigung ganz einfach. Aktualisiere auf Version 3.1.0. Führe einen Scan mit einem Programm wie Malwarebytes durch. Überprüfe deine Dokumente- und Temp-Ordner auf unbekannte, kürzlich erstellte.bat-Dateien und sieh dir deine Autostart-Einträge und die Aufgabenplanung nach, falls du etwas nicht kennst. Das Abonnieren einer Karte allein löst keine Aktion aus; der Code wird erst beim Spielstart ausgeführt. Wenn du die Karte also nur abonniert, aber nie gestartet hast, reicht es, das Abonnement zu kündigen.

Ich selbst spiele nicht so gerne kompetitive Versteckspiele, da ich mich eher in langsameren, storybasierten Welten aufhalte. Daher war es nie geplant, dass dies mein Hauptspiel wird. Was mich aber zum Weiterlesen animiert, ist die Geschichte dahinter: Ein Debüt für 6 Dollar, das fast alles übertraf, ein rasanter Aufstieg von 5 Millionen verkauften Exemplaren in nur 10 Tagen, ein Genre, das niemand erwartet hatte, und dann eine Workshop-Pipeline, die sich gegen die eigenen Spieler wandte. Ich würde zwar immer noch ein paar Runden mit Freunden spielen, aber vorher auf Version 3.1.0 patchen und mich auf beliebte Karten mit echten Kommentaren beschränken.

Hinter den Details verbirgt sich ein wichtigerer Punkt. Meccha Chameleon profitierte von nutzergenerierten Inhalten und viraler Verbreitung in sozialen Medien – und genau diese offene, nutzergesteuerte Oberfläche wurde ausgenutzt. Der niedrige Preis und die geringen Systemanforderungen, die laut Newzoos Analysten für den kommerziellen Erfolg verantwortlich waren, bedeuten auch ein großes, Gelegenheitsspielerpublikum, das sich von einer auffälligen Community-Karte meist nicht abschrecken lässt. Umfang, offene Modding-Möglichkeiten und eine sicherheitsbewusste Nutzerschaft machen das Spiel zu einem verlockenden Ziel, und dies wird nicht der letzte Versuch gewesen sein. PC Gamer bezeichnet das Basisspiel in seinem Test weiterhin als „eine wunderbar gehobene Version von Verstecken“, und die Malware ändert daran nichts. Sie verdeutlicht lediglich, wie teuer es ist, die Herkunft von Workshop-Downloads zu ignorieren.