// GAMESTAR — GAMING
Meccha Chameleon - Über einen der größten Steam-Hits 2026 nahmen Hacker die PCs nichtsahnender Spielern ein
Der Steam Workshop hat maßgeblich zum Erfolg von Meccha Chameleon beigetragen. Hier warten Hunderte Karten, etwa zu Minecraft oder Backrooms.
Das Multiplayer-Versteckspiel Meccha Chameleon gilt aktuell als größter Überraschungshit des Jahres: Kaum jemand hat es kommen sehen und plötzlich waren auf Steam über 340.000 Spieler gleichzeitig online. Doch ausgerechnet das größte Feature des Titels entwickelte sich über das Wochenende zum Albtraum für die Community: der Steam Workshop.
Gefährliche Workshop-Karten schmuggelten Schadsoftware auf die PCs von Spielern, und zu allem Überfluss übernahmen die Angreifer kurzzeitig sogar den offiziellen Discord-Server des Entwicklerteams.
Das Problem steckte in der Art und Weise, wie Meccha Chameleon von der Community erstellte Maps verarbeitet. Da der Titel auf der Unreal Engine basiert, nutzen Ersteller die visuelle Skriptsprache Blueprint.
Bereits im Juni 2026 wies der Security Engineer Khael Cougler auf eine theoretische Sicherheitslücke in Meccha Chamelon hin. Angreifer nutzten dabei den eigentlich harmlosen Befehl »Launch URL« – der normalerweise dazu dient, Spieler per Klick auf Webseiten wie YouTube zu leiten. In Kombination mit manipulierten Pfadangaben in den Map-Ordnern gelang es den Hackern, eine lokal mitgelieferte Batch-Datei auf dem PC der Opfer auszuführen.
Maps, wie das inzwischen entfernte »Laser Tag Neon«, führten beim Laden im Spiel dann im Hintergrund ein PowerShell-Skript aus. Dieses versuchte, einen Remote Access Trojaner von einem externen Server nachzuladen, um die volle Kontrolle über den betroffenen Rechner zu erlangen. Da der Server der Angreifer allerdings rasch offline ging, blieb die zweite Stufe der Infektion in vielen Fällen glücklicherweise stecken.
0:22
Meccha Chameleon: Auf Steam ist gerade eine Versteckspiel in aller Munde, bei dem ihr zum Pinsel greift
Als ob infizierte Community-Karten nicht schon genug Ärger wären, legten die Hacker kurz darauf nach. Während ein System-Engineer des Entwicklerteams den Vorfall untersuchte, wurde sein eigener Rechner gekapert.
Die Angreifer rissen daraufhin die Kontrolle über den offiziellen Discord-Server an sich, entzogen dem echten Team alle Rechte und warfen die Mitarbeiter hochkant vom Server. Um die Verwirrung komplett zu machen, streuten die Hacker gefälschte Ankündigungen: Das neueste Spiel-Update von Meccha Chameleon enthalte angeblich selbst einen Trojaner.
Inzwischen gibt das Entwicklerteam Entwarnung: Der Discord-Server konnte wiederhergestellt werden, die verseuchten Workshop-Dateien flogen von Steam und der gekaperte Entwickler-PC wurde vollständig plattgemacht. Da es sich bei dem infizierten Gerät um ein reines Test- und Backup-System handelte, hatten die Hacker laut Entwicklerangaben zu keinem Zeitpunkt Zugriff auf den Quellcode des Hauptspiels.
