Meccha Chameleon : une carte Workshop cachait un dropper

Ce que l’analyse du 24 juillet a réellement confirmé

Le 24 juillet 2026, le chercheur indépendant Feint a publié l’analyse d’une carte communautaire de Meccha Chameleon nommée Laser Tag Neon. L’élément portait l’identifiant Workshop 3765145606 pour l’application Steam 4704690. Des joueurs avaient remarqué l’apparition très brève d’une fenêtre de commandes pendant le chargement de la carte. L’examen des fichiers a ensuite établi qu’il ne s’agissait pas d’un simple défaut visuel : le contenu embarquait une logique destinée à écrire un script hors du dossier du jeu.

La date importante est celle de la publication de l’analyse, pas celle de fabrication de l’asset. Les métadonnées étudiées donnent au fichier une date de construction au 9 juin, tandis que l’alerte détaillée est apparue le 24 juillet. Le 25 juillet, Feint a indiqué que Laser Tag Neon avait été retirée du Workshop. Le chercheur signale toutefois des réapparitions sous d’autres noms ; faute de bulletin public de Valve ou du développeur au moment de notre vérification, la mesure prudente reste d’éviter provisoirement les cartes communautaires inconnues.

Comment le Blueprint Unreal Engine 5 lançait la chaîne

À première vue, le dossier Workshop ne contenait que des éléments habituels d’un mod Unreal Engine 5 : un registre d’assets et des conteneurs PAK, UCAS et UTOC valides. Aucun exécutable Windows, DLL ou script autonome n’apparaissait. Le comportement indésirable se trouvait dans un Blueprint, c’est-à-dire une logique visuelle chargée par le moteur. Un ancien nom resté dans les métadonnées, BP_RCE_Test, a orienté l’enquête vers un composant rebaptisé comme s’il gérait simplement l’ambiance de la scène.

Le flux reconstruit appelle ReceiveBeginPlay lorsque la carte commence à s’exécuter, récupère le dossier utilisateur puis écrit un fichier nommé s.bat dans Documents. Le contenu de ce fichier relance une fenêtre réduite, démarre PowerShell de manière cachée, contourne la politique d’exécution pour ce processus et tente de télécharger un second script depuis un serveur externe avant de le lancer. L’écriture du premier fichier a été retrouvée à l’identique sur une machine affectée : cette étape n’est donc pas seulement théorique.

En revanche, le serveur a répondu avec une erreur 404 pendant l’analyse. Le second script n’a pas été téléchargé sur la machine observée et son contenu reste inconnu. Il serait donc incorrect d’affirmer que cette carte déployait précisément un voleur de mots de passe, un rançongiciel ou un mineur. Ce qui est confirmé suffit déjà à la qualifier de dropper malveillant : une carte n’a aucune raison légitime d’écrire un fichier batch dans Documents, de masquer PowerShell puis de récupérer du code exécutable sur Internet.

Que faire si une carte Workshop inconnue a été lancée

Si vous avez seulement ajouté une carte à vos abonnements sans jamais la charger dans une partie, l’analyse ne démontre pas que le simple abonnement déclenche ce Blueprint. Désabonnez-vous des cartes inconnues et ne relancez pas le jeu avec elles. Si Laser Tag Neon ou une copie suspecte a réellement été ouverte, vérifiez la présence récente de s.bat dans votre dossier Documents, mais ne double-cliquez jamais dessus. L’absence de ce seul fichier ne garantit pas à elle seule qu’aucun autre contenu n’a été exécuté.

Mettez à jour les renseignements de sécurité de Microsoft Defender, puis lancez une analyse complète. Microsoft recommande son analyse hors ligne pour le contrôle le plus approfondi : elle redémarre le PC dans un environnement séparé, où un logiciel malveillant actif a moins de possibilités de se dissimuler. En présence d’une détection, d’une tâche planifiée inconnue, d’une nouvelle application au démarrage ou d’une activité de compte anormale, évitez de vous reconnecter à vos services sensibles depuis cette machine tant que le nettoyage n’est pas terminé.

Signalez les éléments Workshop suspects directement à Steam. Un compte très récent, des commentaires désactivés ou une carte qui provoque une fenêtre de terminal sont des signaux d’alerte, pas une preuve technique suffisante pris isolément. La solution la plus sûre n’est pas de tester soi-même une carte douteuse ni d’exécuter ses scripts pour comprendre leur effet : conservez le nom et l’identifiant de l’élément, retirez l’abonnement et laissez l’analyse aux équipes de sécurité dans un environnement isolé.

Les limites techniques et les responsabilités encore ouvertes

La fiche Steam officielle confirme que Meccha Chameleon fonctionne sous Windows et prend en charge Steam Workshop. La chaîne étudiée utilise un fichier batch et PowerShell ; elle cible donc l’environnement Windows décrit. Cela ne permet pas d’étendre automatiquement les conclusions à tous les systèmes, à toutes les cartes ou à l’application Steam elle-même. Il n’existe pas non plus, dans les sources retenues, de preuve qu’une mise à jour officielle du jeu ait corrigé toutes les voies permettant à un Blueprint de lancer ce type d’action.

Le développeur du jeu n’est pas identifié comme l’auteur de la carte malveillante. Le problème documenté vient d’un contenu tiers mis en ligne sur Workshop et de capacités que ce contenu a pu détourner. Déterminer si la correction doit relever du jeu, du kit de création, de la validation Steam ou de plusieurs couches à la fois demandera une réponse technique des responsables. Great Opti ne transforme donc pas l’incident en accusation contre lemorion_1224 ou Valve sans élément supplémentaire.

Enfin, des témoignages de comptes compromis circulent depuis plusieurs semaines, mais ils ne suffisent pas à attribuer chaque incident à Laser Tag Neon. Le constat solide est plus étroit : une carte précise contenait une chaîne conçue pour écrire, télécharger et exécuter du code ; le premier script a bien été créé sur une machine ; le téléchargement suivant a échoué pendant l’examen. Jusqu’à une communication officielle, privilégiez les cartes intégrées au jeu et considérez les nouveaux éléments Workshop comme non vérifiés.