Le logiciel malveillant « Meccha Chameleon Workshop » a entraîné le détournement d’un serveur Discord et des infections par des RAT

Une faille de sécurité dans le processus de chargement des mods de Meccha Chameleon a donné lieu à une campagne de chevaux de Troie d’accès à distance (RAT) et au détournement du serveur Discord officiel du jeu. Cet incident met en évidence la manière dont la logique d’exécution des ressources propres au jeu, et non la plateforme Steam Workshop elle-même, peut être transformée en mécanisme de diffusion de logiciels malveillants.

Comment l’attaque a-t-elle été découverte ?

La campagne a d’abord été documentée par Feint, un ingénieur en rétro-ingénierie indépendant, après que des joueurs ont signalé l’apparition brève d’une fenêtre d’invite de commande lors du chargement d’une carte communautaire personnalisée. L’enquête a permis de remonter à un fichier mis en ligne sur le Workshop intitulé « Laser Tag Neon », qui contenait une logique Blueprint cachée d’Unreal Engine 5 bien qu’il ait passé avec succès la modération du Workshop. Un deuxième fichier suspect, « Chroma Grid Arena », est brièvement apparu en remplacement avant d’être lui aussi supprimé.

Au cœur du Blueprint malveillant

Lorsqu’un joueur chargeait la carte infectée, un Blueprint initialement nommé BP_RCE_Test (rebaptisé par la suite BP_AmbientController) se déclenchait automatiquement via l’événement « BeginPlay » d’Unreal Engine. Plutôt que d’exécuter une quelconque fonction d’éclairage ou d’environnement, il construisait un chemin d’accès à un fichier et écrivait des données sur le disque.

Le fichier ainsi créé, s.bat, était placé dans le dossier %USERPROFILE%Documents de la victime. Son contenu était structuré sous la forme d’un fichier polyglotte JSON/batch : un JSON valide qui fonctionnait également comme un script batch exécutable lorsqu’il était lancé directement.

Du dropper au RAT

Une fois écrit, le script s’est relancé, puis a utilisé une instance cachée de PowerShell avec un contournement de la politique d’exécution pour télécharger un script de deuxième phase à partir d’un serveur de commande et de contrôle codé en dur. Il a été confirmé par la suite que cette charge utile de deuxième phase installait un RAT persistant, offrant aux attaquants le contrôle à distance des systèmes infectés.

Détournement d’un serveur Discord en cours d’enquête

L’incident s’est aggravé lorsqu’une machine de test de secours utilisée par un ingénieur système enquêtant sur le logiciel malveillant a elle-même été compromise. Les attaquants ont utilisé ce point d’ancrage pour contourner l’authentification à deux facteurs sur le compte Discord d’un administrateur, modifier les autorisations du serveur et bannir des membres du personnel officiel. Cette prise de contrôle a affecté le serveur Discord officiel du jeu, qui compte près de 100 000 membres. L’accès a par la suite été rétabli.

Réponse et précautions recommandées

Les développeurs ont publié la version 3.1.0 afin de corriger la vulnérabilité et d’empêcher les cartes du Workshop de lancer des processus externes. Les cartes signalées ont été supprimées du Steam Workshop. L’équipe de développement a confirmé que le code source du jeu et les systèmes de production n’avaient pas été compromis.

Il est conseillé aux joueurs ayant chargé des cartes personnalisées avant la mise à jour d’effectuer une analyse antivirus complète, de vérifier les dossiers %USERPROFILE%Documents et %TEMP% à la recherche de fichiers batch non autorisés, d’inspecter le Planificateur de tâches Windows et les entrées de démarrage à la recherche de mécanismes de persistance, et de passer à la version 3.1.0 ou ultérieure.