Meccha Chameleon Workshop kötü amaçlı yazılımı, Discord sunucusunun ele geçirilmesine ve RAT bulaşmalarına yol açtı

Meccha Chameleon'un mod yükleme sürecindeki bir güvenlik açığı, bir Uzaktan Erişim Truva Atı (RAT) kampanyasına ve oyunun resmi Discord sunucusunun ele geçirilmesine yol açtı. Bu olay, Steam Workshop platformunun kendisi değil, oyunun kendi varlık yürütme mantığının nasıl bir kötü amaçlı yazılım dağıtım mekanizmasına dönüştürülebileceğini ortaya koyuyor.

Saldırı nasıl keşfedildi?

Kampanya, oyuncuların özel bir topluluk haritasını yüklerken Komut İstemi penceresinin kısa bir süre yanıp söndüğünü bildirmesinin ardından, bağımsız ters mühendis Feint tarafından ilk kez belgelendi. Yapılan araştırma, bu davranışın kaynağını, Workshop incelemesinden geçmesine rağmen gizli Unreal Engine 5 Blueprint mantığı içeren "Laser Tag Neon" adlı bir Workshop yüklemesine kadar izledi. İkinci bir şüpheli yükleme olan "Chroma Grid Arena" da, kaldırılmadan önce kısa bir süreliğine bunun yerine göründü.

Kötü amaçlı Blueprint'in içi

Bir oyuncu virüslü haritayı yüklediğinde, başlangıçta BP_RCE_Test olarak adlandırılan (daha sonra BP_AmbientController olarak yeniden adlandırılan) bir Blueprint, Unreal Engine'in BeginPlay olayı aracılığıyla otomatik olarak tetiklendi. Bu Blueprint, herhangi bir aydınlatma veya ortam işlevi yerine getirmek yerine, bir dosya yolu oluşturdu ve diske veri yazdı.

Yazılan s.bat dosyası, kurbanın %USERPROFILE%Documents klasörüne bırakıldı. Dosyanın içeriği, JSON/batch polyglot olarak yapılandırılmıştı; bu, geçerli bir JSON dosyası olmakla birlikte, doğrudan çalıştırıldığında yürütülebilir bir batch komut dosyası olarak da işlev görüyordu.

Dropper'dan RAT'a

Yazıldıktan sonra komut dosyası kendini yeniden başlattı, ardından yürütme politikası atlamalı gizli bir PowerShell örneği kullanarak, sabit kodlanmış bir komuta ve kontrol sunucusundan ikinci aşama komut dosyasını indirdi. Bu ikinci aşama yükünün, saldırganlara enfekte olmuş sistemler üzerinde uzaktan kontrol imkanı sağlayan kalıcı bir RAT yüklediği daha sonra doğrulandı.

Soruşturma sırasında ele geçirilen Discord sunucusu

Olay, kötü amaçlı yazılımı araştıran bir sistem mühendisinin kullandığı yedek test makinesinin de ele geçirilmesiyle daha da ciddi bir hal aldı. Saldırganlar, bu erişim noktasını kullanarak bir yöneticinin Discord hesabındaki iki faktörlü kimlik doğrulamayı atlattı, sunucu izinlerini değiştirdi ve resmi personel üyelerini engelledi. Ele geçirme olayı, yaklaşık 100.000 üyeye sahip oyunun resmi Discord sunucusunu etkiledi. Erişim daha sonra yeniden sağlandı.

Tepki ve önerilen önlemler

Geliştiriciler, güvenlik açığını gidermek ve Workshop haritalarının harici işlemler başlatmasını önlemek için 3.1.0 sürümünü yayınladı. Sorunlu haritalar Steam Workshop'tan kaldırıldı. Geliştirme ekibi, oyunun kaynak kodu ve üretim sistemlerinin ele geçirilmediğini doğruladı.

Güncelleme yapmadan önce özel haritaları yükleyen oyunculara, tam bir antivirüs taraması yapmaları, %USERPROFILE%Documents ve %TEMP% dizinlerinde yetkisiz toplu iş dosyaları olup olmadığını kontrol etmeleri, Windows Görev Zamanlayıcı ve Başlangıç girişlerini kalıcılık mekanizmaları açısından denetlemeleri ve 3.1.0 veya daha yeni bir sürüme güncelleme yapmaları tavsiye edilir.