Meccha Chameleon : vérifier les fichiers Workshop après l’attaque malware

Meccha Chameleon et le Workshop : un incident qui dépasse largement une map piégée

Le Steam Workshop a toujours eu ce double visage : une machine formidable pour prolonger la vie d’un jeu, et une porte d’entrée qui exige une confiance inhabituelle envers des fichiers créés par des inconnus. Meccha Chameleon, jeu multijoueur de cache-cache devenu très visible sur Steam, vient de rappeler la partie beaucoup moins amusante de cette équation. Des maps communautaires ont servi à lancer des scripts cachés sur le PC des joueurs au moment de leur chargement.

Le point important est rassurant sans autoriser le relâchement : le jeu officiel n’est pas le vecteur identifié. L’exposition concerne les cartes Workshop compromises, dont Laser Tag Neon, puis Chroma Grid Arena et des réimportations ou variantes telles que Neon Void Arena. Télécharger un item ne semble pas suffire dans le scénario connu ; le risque apparaît lors du chargement effectif de la map dans le jeu. Cette nuance change complètement la marche à suivre : il ne faut ni réinstaller frénétiquement toute sa bibliothèque Steam, ni traiter une simple mise à jour comme un nettoyage complet.

Le mécanisme de l’attaque : quand une map devient un lanceur de scripts

Les cartes incriminées exploitaient le système de mods de Meccha Chameleon pour exécuter des commandes sur la machine locale. Le comportement signalé comprend la création d’un fichier batch, notamment s.bat, dans le dossier Documents, puis le lancement discret de PowerShell avec une politique d’exécution contournée. L’objectif final était de récupérer un second script depuis un serveur distant, avec un comportement associé à un cheval de Troie d’accès à distance.

Cette chaîne est particulièrement sale parce qu’elle sépare l’infection en étapes. Une map semble être un simple contenu de jeu ; elle dépose ensuite un petit fichier local ; ce fichier contacte enfin l’infrastructure de l’attaquant. Chercher uniquement le nom de la map ou supprimer le dossier Workshop après coup ne garantit donc rien si la carte a déjà été chargée. Une porte ouverte une fois ne se referme pas en jetant la poignée.

Le problème ne prouve pas que chaque map Unreal Engine ou chaque Blueprint communautaire est dangereux. Il montre en revanche qu’un pipeline de mods qui peut atteindre des fonctions système doit être traité comme une surface d’attaque, surtout lorsqu’un jeu explose en popularité. Les attaquants suivent la foule, et un Workshop rempli de nouveaux joueurs pressés d’essayer la map à la mode constitue une cible très rentable.

Évaluer son niveau d’exposition avant de toucher aux fichiers

Situation	Niveau de risque	Action utile
Vous avez joué uniquement aux cartes officielles.	Très faible selon le vecteur identifié.	Mettre le jeu à jour et éviter les anciens liens communautaires suspects.
Vous êtes abonné à une map Workshop, sans l’avoir chargée.	Faible, mais nécessite un nettoyage préventif.	Se désabonner, supprimer le cache correspondant et vérifier la version du jeu.
Vous avez chargé Laser Tag Neon, Chroma Grid Arena, Neon Void Arena ou une variante.	Élevé.	Scan complet, contrôle de Documents, nettoyage Workshop et sécurisation des comptes depuis un appareil sain.
Vous avez lancé des liens Discord liés à l’incident ou exécuté des fichiers reçus en message.	Élevé, même sans map Workshop.	Traiter l’incident comme une compromission distincte et changer les identifiants depuis un autre appareil.

La bonne première étape consiste à reconstruire ce qui s’est réellement passé. Notez les maps auxquelles vous avez joué, pas seulement celles auxquelles vous étiez abonné. Dans Steam, ouvrez la page Workshop de Meccha Chameleon et consultez vos contenus abonnés. Les éléments retirés peuvent ne plus être faciles à retrouver via leur page publique, mais leur présence passée dans vos dossiers locaux, vos captures, votre activité récente ou vos conversations Steam permet souvent de reconstituer l’historique.

Checklist de nettoyage : l’ordre compte

1. Fermez Steam et Meccha Chameleon. Évitez de relancer le jeu ou une map Workshop avant d’avoir appliqué le correctif et vérifié les fichiers.
2. Mettez Meccha Chameleon à jour en version 3.1.0 ou supérieure. Ce patch inclut un correctif de sécurité pour les maps modifiées. L’équipe a également indiqué avoir neutralisé le mécanisme malveillant et retiré les cartes identifiées, mais une mise à jour locale reste indispensable.
3. Désabonnez-vous des items suspects. Retirez Laser Tag Neon, Chroma Grid Arena, Neon Void Arena et toute copie dont le nom, l’auteur ou la date de publication paraît anormal. Un changement de titre ne transforme pas un reupload en contenu sûr.
4. Nettoyez le cache Workshop de Meccha Chameleon. Dans le dossier Steam, le contenu Workshop est généralement stocké dans steamapps\workshop\content, dans un sous-dossier associé à l’identifiant de l’application. Pour Meccha Chameleon, l’identifiant indiqué est 4704690. Supprimez le contenu concerné après vous être désabonné, sinon Steam pourra le télécharger de nouveau.
5. Vérifiez les fichiers officiels du jeu. Dans Steam : Bibliothèque, clic droit sur Meccha Chameleon, Propriétés, Fichiers installés, puis vérification de l’intégrité. Cette fonction répare les fichiers officiels ; elle ne supprime pas un script déjà déposé dans Documents.
6. Examinez le dossier Documents sans exécuter quoi que ce soit. Un fichier s.bat constitue un indicateur sérieux dans cet incident. Ne double-cliquez pas dessus pour « voir ce qu’il fait ». Laissez votre antivirus le mettre en quarantaine ou supprimez-le après le scan, en gardant à l’esprit que son absence ne prouve pas à elle seule que la machine est propre.

Les dossiers propres au jeu méritent aussi un passage méthodique. Depuis Steam, utilisez « Parcourir les fichiers locaux » et repérez les répertoires nommés Config, Saved, Mods ou Workshop lorsqu’ils existent. Sauvegardez les sauvegardes utiles, puis renommez ou supprimez les dossiers de mods et Workshop afin de forcer une base propre. Effacer Saved peut aussi retirer des réglages ou des données locales : ce n’est pas une étape à faire à l’aveugle si seul le cache Workshop est concerné.

Le scan à faire si une map suspecte a été chargée

Si l’une des cartes citées a été lancée, un scan rapide ne suffit pas. Lancez une analyse complète avec un antivirus à jour, puis utilisez l’analyse hors ligne de Microsoft Defender si vous êtes sous Windows. Son intérêt est concret : elle redémarre la machine pour analyser des éléments qui pourraient être difficiles à inspecter pendant que Windows fonctionne. Un second outil anti-malware réputé peut compléter le contrôle, mais empiler trois antivirus résidents est une recette classique pour créer des faux positifs et des performances en miettes.

Un RAT potentiel impose aussi de regarder au-delà du jeu. Depuis un appareil connu comme sain, changez le mot de passe Steam, activez ou vérifiez Steam Guard, déconnectez les sessions actives et faites la même chose pour votre messagerie principale et Discord. Les comptes financiers doivent être surveillés avec une attention prioritaire. Le changement d’identifiants sur le PC possiblement compromis perd une bonne partie de son intérêt si un accès distant reste actif.

Une fois le scan terminé, surveillez les programmes qui se lancent au démarrage et les tâches planifiées inconnues. Ce contrôle n’exige pas de jouer au détective dans le Registre Windows pendant deux heures : l’objectif est de repérer un script, un exécutable ou une tâche dont le nom et la date coïncident avec l’incident. En cas de détection confirmée ou de comportement persistant, une réinstallation propre de Windows devient la solution raisonnable. C’est pénible, mais plus propre que de vivre avec l’incertitude sur une machine qui contient Steam, Discord, un navigateur rempli de sessions et parfois des outils professionnels.

Le patch corrige le chargement, pas l’historique de votre machine

Une prudence durable pour les futures maps

Après cet incident, la pratique la plus saine consiste à séparer le jeu officiel et l’expérimentation Workshop. Évitez les maps fraîchement publiées par des comptes sans historique, les liens distribués hors Steam, les commentaires désactivés et les fichiers additionnels hébergés ailleurs. Un compte Windows secondaire dédié aux jeux moddés ajoute une couche de séparation utile pour les joueurs qui installent beaucoup de contenu communautaire.

Le Discord officiel doit également être traité avec la même prudence qu’un serveur communautaire classique. Le retour à la normale annoncé par l’équipe est une bonne nouvelle, mais les vieux messages, liens raccourcis et fichiers partagés autour de l’incident restent à éviter. Une annonce légitime n’a aucune raison de demander un exécutable, un script, un mot de passe Steam ou une désactivation de l’antivirus.