Meccha Chameleon, um dos maiores sucessos indie da Steam em 2026, recebeu uma grande atualização para corrigir uma vulnerabilidade que permitia a distribuição de malware por meio de mapas personalizados do Steam Workshop. Segundo os desenvolvedores, o problema já foi solucionado na atualização 3.1.0.
Além disso, jogadores também foram surpreendidos por uma invasão ao Discord oficial do game no último sábado (25). Os hackers publicaram mensagens falsas afirmando que a versão para PC do jogo continha vírus e orientando usuários a desinstalarem o título imediatamente.
Os desenvolvedores esclareceram que o jogo permanece seguro: "A vulnerabilidade nos mapas personalizados descrita na atualização 3.1.0 de hoje foi corrigida". A equipe também confirmou que o malware foi desativado nos mapas afetados e alertou os jogadores para não acessarem links compartilhados no Discord comprometido.
We now have a full picture of the situation and would like to share the verified details with you.
— Meccha Chameleon (@mecchachameleon) July 25, 2026
To get straight to the point: The game itself is 100% SAFE and virus-free. This incident was strictly limited to a single admin account's Discord being compromised.
What Happened:…
Neste domingo (26), os desenvolvedores do game também conseguiram recuperar o Discord do jogo, que ficou mais de 24 horas nas mãos de hackers. Segundo os responsáveis pelo game, a plataforma oficial de comunicação do jogo foi comprometida justamente quando um dos desenvolvedores testava os mods que continham vírus.
Alguns mapas personalizados de Meccha Chameleon eram como um "Cavalo de Tróia"
O problema nos mapas de Meccha Chameleon foi identificado pelo pesquisador de segurança conhecido como Feint, que publicou uma análise no Medium após relatos de jogadores que observaram uma janela do Prompt de Comando surgir brevemente durante o download automático de mapas personalizados do Steam Workshop.
À primeira vista, os arquivos pareciam legítimos e utilizavam os contêineres padrões do Unreal Engine 5. No entanto, a investigação revelou um Blueprint oculto nos metadados do mapa que era executado automaticamente assim que o conteúdo era carregado pelo jogo.
Segundo Feint, o script criava um arquivo .bat na pasta “Documentos do Windows” do jogador. Em seguida, ele iniciava silenciosamente um processo do PowerShell configurado para ignorar políticas de execução antes de tentar baixar um segundo script hospedado em um servidor externo.
"O que encontrei foi um mapa aparentemente comum da Oficina que continha o que parece ser um instalador de malware, apesar de ter passado pela revisão da Oficina", explicou o pesquisador. Os testes realizados falharam ao baixar o segundo arquivo, o que impediu a identificação do conteúdo que seria instalado no computador da vítima.
Quais mapas de Meccha Chameleon estão com malware?
Até o momento, os mapas personalizados identificados como afetados são Laser Tag Neon e Chroma Grid Arena, ambos compartilhados por uma conta suspeita no Steam Workshop. Segundo Feint, o perfil havia sido criado recentemente e possuía avaliações e comentários desativados.
Após a divulgação do caso, os desenvolvedores confirmaram que o malware presente nos mapas já foi desativado. A equipe também informou que a vulnerabilidade utilizada pelos arquivos maliciosos deixou de funcionar após a atualização 3.1.0 do jogo.
Apesar disso, a recomendação continua sendo evitar baixar mapas personalizados pouco conhecidos enquanto a Valve conduz suas próprias verificações. Conteúdos sem avaliações ou comentários públicos merecem atenção redobrada por parte dos jogadores.
Baixei um desses mapas de Meccha Chameleon, e agora?
Caso você tenha baixado recentemente mapas personalizados do Meccha Chameleon, a recomendação é executar uma verificação completa do sistema utilizando um antivírus atualizado. Também vale conferir a pasta Documentos do Windows em busca de arquivos .bat desconhecidos.
Os desenvolvedores ressaltaram que o jogo distribuído pela Steam não foi comprometido. "O jogo em si é 100% seguro e livre de vírus", afirmou a equipe em comunicado oficial divulgado após o incidente envolvendo o Discord oficial do game.
Por precaução, evite acessar links compartilhados no servidor comprometido do Discord e não instale arquivos disponibilizados por terceiros. O computador utilizado por um dos engenheiros do estúdio, infectado durante a investigação do problema, já foi formatado, e os desenvolvedores garantem que ele não possuía acesso aos arquivos-fonte do jogo.
A atualização disponibilizada pelo estúdio corrige a vulnerabilidade explorada pelos mapas afetados, mas os cuidados básicos de segurança continuam sendo importantes ao utilizar conteúdos criados pela comunidade.
Você está jogando Meccha Chameleon? Conte pra gente nas redes sociais do Voxel se baixou algum dos mapas afetados e o que achou das medidas adotadas pelos desenvolvedores!