Das beliebteste Indie-Spiel auf Steam steht im Verdacht, mit Schadsoftware infiziert zu sein.

Eine der größten Erfolgsgeschichten von Steam im Jahr 2026 geriet plötzlich ins Zentrum einer Sicherheitskrise. Ein Sicherheitsforscher entdeckte, dass die von der Community erstellte Meccha Chameleon Workshop-Karte Code enthielt, der dazu diente, Dateien außerhalb des Spiels zu schreiben und einen versteckten PowerShell-Prozess auszuführen, der versuchte, zusätzliche Schadsoftware von einem externen Server herunterzuladen.

Wie konnte eine benutzerdefinierte Karte zu Schadsoftware werden?

Die Untersuchung, veröffentlicht vom Sicherheitsforscher Feint , begann, nachdem Spieler bemerkten, dass während des Downloads einer benutzerdefinierten Workshop-Karte namens „Laser Tag Neon“ durch Steam kurz ein Eingabeaufforderungsfenster auf ihren Bildschirmen aufblitzte . Bei genauerer Betrachtung stellte der Forscher fest, dass die Karte keine ausführbare Datei im herkömmlichen Sinne verbarg. Stattdessen nutzte sie die Blueprint-Logik der Unreal Engine 5 aus, um eine Batch-Datei im Dokumentenordner des Benutzers zu erstellen, bevor ein versteckter PowerShell-Prozess ausgeführt wurde.

Laut Reverse-Engineering-Analyse versuchte das Skript anschließend, eine Batch-Datei von einem vorprogrammierten externen Server herunterzuladen und auszuführen. Beim Testen führte dieser Download jedoch zu einem 404-Fehler, sodass die eigentliche Nutzlast nicht wiederhergestellt werden konnte und ihr Zweck weiterhin unbekannt ist. Das Verhalten selbst – das Erstellen ausführbarer Dateien außerhalb des Spielverzeichnisses und das Aufrufen von PowerShell – ist für die Workshop-Karte höchst ungewöhnlich und deutet stark auf böswillige Absicht hin.

Die Forscher stellten die Identifizierung der finalen Malware-Familie ein, da die Nutzlast der zweiten Phase während der Analyse nicht verfügbar war. Sie kamen jedoch aufgrund mehrerer Indikatoren, darunter ihre verborgene Ausführungslogik, verschleierte Blueprint-Ursprünge und Versuche, externen Code abzurufen, zu dem Schluss, dass die Workshop-Komponente als schädlich einzustufen ist.

Warum ist das wichtig?

Meccha Chameleon ist nicht einfach nur ein weiteres Indie-Spiel . Seit seiner Veröffentlichung im letzten Monat hat sich dieser Multiplayer-Hit rund 15 Millionen Mal verkauft, und Branchenanalysten berichteten kürzlich, dass er diesen Monat den zweithöchsten Umsatz aller PC-Spiele generiert hat – direkt hinter Fortnite. Diese riesige Spielerschaft macht ihn zu einem attraktiven Ziel für Angreifer, die von der Community erstellte Inhalte ausnutzen wollen.

Anders als bei herkömmlichen manuellen Mod-Installationen werden Workshop-Inhalte oft automatisch heruntergeladen, wenn man Mehrspieler-Sitzungen beitritt oder Community-Karten abonniert. In diesem Fall war das schädliche Verhalten in einer scheinbar völlig normalen Komponente der Unreal Engine eingebettet, was es schwierig machte, es bei einem schnellen Scan zu erkennen.

Obwohl die Sicherheitslücke geschlossen und die schädliche Workshop-Karte entfernt wurde, mahnt dieser Vorfall zur Vorsicht im Umgang mit Community-Inhalten. Spieler sollten sich auf Karten und Mods von vertrauenswürdigen Entwicklern beschränken, vor dem Herunterladen Community-Bewertungen und Rezensionen prüfen, ihre Antivirensoftware aktiviert lassen und sicherstellen, dass sowohl Steam als auch ihre Spiele auf dem neuesten Stand sind. Die meisten Workshop-Inhalte sind zwar völlig sicher, doch dieser Fall zeigt, dass ein einzelner schädlicher Download unbemerkt bleiben und ein Sicherheitsrisiko darstellen kann.