Игроков MECCHA CHAMELEON призывают удалить игру — вот только этот совет идёт от взломщика, а не от разработчиков
Совет срочно снести MECCHA CHAMELEON с компьютера за сутки разошёлся по обсуждениям, чатам и новостным лентам — и исходит он откуда угодно, кроме студии. Разработчики под ником lemorion_1224 заявили обратное: сама игра чиста, а инцидент свёлся к вредоносным картам в мастерской Steam, одной захваченной админской учётке и угнанному Discord-серверу, от имени которого теперь и раздаются фальшивые предупреждения.
Уязвимость, через которую всё началось, закрыли патчем 3.1.0 ещё 25 июля. Речь при этом идёт не о рядовом инди: кооперативные прятки с рисованием вышли в середине июня и разошлись тиражом больше 15 миллионов копий, став крупнейшим инди-хитом года в Steam.
Началось всё вечером 24 июля, когда исследователь под ником Feint разобрал пользовательскую карту Laser Tag Neon из мастерской. Игроки жаловались, что при загрузке карты на секунду выскакивает окно командной строки, — и не зря. Карта записывала bat-файл в папку «Документы» и запускала скрытый процесс PowerShell, который тянул с удалённого сервера вторую ступень. Что именно должно было прилететь следом, выяснить не удалось: к моменту разбора файл уже не отдавался.
Отдельная неприятность в том, что карта прошла модерацию мастерской штатно. Вредоносный блюпринт был спрятан в метаданных ассетов Unreal Engine — в служебном файле AssetRegistry.bin, под именем, замаскированным под безобидную систему освещения. На поверхности лежал обычный уровень в лазертаг-декорациях. Laser Tag Neon после публикации отчёта удалили, но Feint почти сразу сообщил, что на её место залили новые заражённые карты.
Патч 3.1.0 вышел на следующий день и, по словам студии, отключает выполнение стороннего кода во всех модных картах — включая те, что были загружены раньше. То есть после обновления даже
