Meccha Chameleon nukentėjo nuo kenkėjiškų Workshop žemėlapių ir Discord nulaužimo

Meccha Chameleon turėjo sunkią savaitę – žaidimo pažeidžiamumas leido kenkėjiškiems Steam Workshop žemėlapiams įrašyti kenkėjiškas programas į žaidėjų kompiuterius, o ant viršaus dar buvo nulaužtas ir oficialus žaidimo Discord serveris. Kūrėjas Haganeiro patvirtino abi problemas ir pranešė, kad pagrindinis pažeidžiamumas jau sutvarkytas patch'u.

Kenkėjišką programą aptiko Medium vartotojas Feint, pastebėjęs trumpam iššokusį komandinės eilutės langą, kai siuntėsi Workshop žemėlapį. Pasikapstęs giliau, Feint rado žemėlapį Laser Tag Neon, kuriame buvo kažkas panašaus į malware dropper'į – nors žemėlapis sėkmingai praėjo Steam Workshop peržiūros procesą. Vėliau jo vietoje buvo įkeltas antras žemėlapis, Chroma Grid Arena. Haganeiro išsprendė šį pažeidžiamumą 3.1.0 update'u, X platformoje parašydamas, kad pataisymas jau veikia, o kenkėjiškas kodas paveiktuose žemėlapiuose buvo deaktyvuotas tiek prieš patch'ą, tiek po jo. Apie Discord nulaužimą sužinota iš vartotojų komentarų X – viename iš jų tiesiog buvo parašyta „Your discord is fucked man“ – o vėliau tai buvo patvirtinta oficialiame Steam Community tinklaraščio įraše. Serveris turi beveik 100 000 narių. Kūrėjas lemorion_1224 platformoje X paaiškino, kad sistemų inžinieriaus kompiuteris buvo užkrėstas kenkėjiška programa būtent tuo metu, kai komanda dirbo prie Workshop pažeidžiamumo taisymo. Hakeris pasinaudojo šia prieiga, kad apeitų inžinieriaus dviejų faktorių autentifikaciją Discord platformoje, pakeitė serverio teises ir užbanino visus komandos narius. Pažeistas kompiuteris, kuris buvo įvardytas kaip atsarginis įrenginys, buvo visiškai išvalytas ir nebeturi prieigos prie žaidimo failų. Haganeiro teigia, kad susisiekė su Discord Support ir laukia atsakymo; jei serverio nepavyks susigrąžinti, komanda sukurs naują.

Meccha Chameleon yra palyginti nedidelis indie žaidimas, tačiau šis incidentas išryškina realią riziką vartotojų kuriamo turinio sistemose – kenkėjiški failai gali praslysti pro automatinį patikrinimą ir pasiekti žaidėjus dar prieš kam nors pastebint. Tai, kad Discord buvo nulaužtas komandai aktyviai sprendžiant pirmąją krizę, ir taip blogą savaitę pavertė gerokai prastesne.

Kol kas Haganeiro ragina žaidėjus nespausti jokių įtartinų nuorodų, skelbiamų užgrobtame Discord serveryje, kol bandoma jį susigrąžinti. Jei dar to nepadarėte, būtinai įsidiekite 3.1.0 update'ą.