Meccha Chameleon Malware: l'Attacco Steam Spiegato [2026]

Un malware nascosto in alcune mappe personalizzate dello Steam Workshop ha infettato i PC dei giocatori di Meccha Chameleon, il gioco indie di nascondino multiplayer diventato il fenomeno a sorpresa dell’estate 2026 con oltre 15 milioni di copie vendute in meno di un mese. Nello stesso periodo, un secondo attacco, distinto dal primo, ha sfruttato il dispositivo infetto di un ingegnere dello studio per bypassare l’autenticazione a due fattori e prendere il controllo del server Discord ufficiale del gioco: oltre 100.000 membri banditi in blocco dai propri stessi amministratori.

Gli sviluppatori, il duo indipendente giapponese formato da lemorion_1224 e dallo studio Haganeiro, hanno corretto la falla nelle mappe con la patch 3.1.0 e riconquistato il Discord nel giro di circa cinque giorni. Ma l’episodio, esploso proprio nel momento di massima popolarità del gioco, è già diventato un caso di scuola su quanto sia fragile la fiducia riposta nei contenuti caricati dagli utenti su Steam – e su quanto in fretta un fenomeno virale possa trasformarsi in un bersaglio.

Cos’è Meccha Chameleon: il fenomeno indie diventato un caso di sicurezza

Prima di arrivare all’attacco, vale la pena capire perché Meccha Chameleon fosse un bersaglio così attraente. Uscito su Steam per Windows il 9 giugno 2026 al prezzo di 6,15€, il gioco propone una variante multiplayer del classico nascondino: i giocatori “nascosti” dipingono il proprio corpo di bianco e si mimetizzano contro lo scenario, imitandone forme e colori, mentre i “cercatori” provano a smascherarli. È il tipo di gioco pensato apposta per essere trasmesso in streaming e condiviso tra amici, tanto che la stampa di settore lo ha già soprannominato un titolo “friendslop”, capace di diventare virale grazie alla sua semplicità immediata.

Il gioco è stato realizzato in circa due mesi da un duo indipendente: lo sviluppatore che si fa chiamare lemorion_1224 e lo studio Haganeiro, entrambi con un passato nella creazione di esperienze per Fortnite tramite l’editor UEFN (Unreal Editor for Fortnite). Le dimensioni ridotte del team non hanno impedito al gioco di scalare le classifiche di vendita a una velocità che ha sorpreso l’intero settore.

Secondo l’analista Daniel Ahmad di Niko Partners, che segue da vicino le classifiche di vendita dell’industria, Meccha Chameleon ha superato il milione di copie nei primi quattro giorni, ha toccato i 10 milioni entro il 26 giugno (soglia confermata anche dalla pagina Steam News ufficiale del gioco) ed è arrivato a oltre 15 milioni di copie vendute in meno di un mese dal lancio, superando in classifica uscite tripla-A come Resident Evil Requiem, Crimson Desert e 007: First Light. Al momento della stesura di questo articolo, la pagina Steam del gioco conta oltre 39.000 recensioni, il 90% delle quali “Molto positive” – un dato che, nonostante le due settimane turbolente descritte in questo articolo, non risulta essersi deteriorato.

La scoperta: il ricercatore che ha trovato il malware nel Workshop

Il 23 luglio 2026 il ricercatore di sicurezza noto come Feint ha pubblicato un’analisi che ha acceso i riflettori sul problema: una mappa personalizzata caricata sullo Steam Workshop di Meccha Chameleon, chiamata “Laser Tag Neon”, conteneva codice in grado di eseguire comandi da remoto sul PC di chi la scaricava. La mappa aveva superato senza problemi il sistema di revisione automatica di Steam – la prima, e forse più preoccupante, delle falle emerse in questa vicenda. Il giorno successivo, 24 luglio, è stata individuata una seconda mappa infetta, “Chroma Grid Arena”, a conferma che non si trattava di un caso isolato.

Dentro il payload: come funzionava l’attacco RCE

Secondo la ricostruzione tecnica circolata tra i ricercatori e ripresa da Kotaku, il codice malevolo era nascosto in un Blueprint di Unreal Engine – inizialmente chiamato BP_RCE_Test e poi rinominato nella più innocua dicitura BP_AmbientController, probabilmente nel tentativo di passare inosservato durante la revisione. Il Blueprint si attivava automaticamente all’evento BeginPlay, cioè non appena la mappa veniva caricata: a quel punto scriveva un file denominato s.bat nella cartella Documenti della vittima, un polyglot in formato JSON/batch pensato per essere eseguito senza destare sospetti, e avviava una sessione PowerShell nascosta con il flag di bypass della policy di esecuzione. Da lì, il malware scaricava un trojan ad accesso remoto (RAT) da un server di comando e controllo esterno, garantendo agli attaccanti un accesso persistente al sistema, non un semplice furto di dati una tantum.

Il sequestro del Discord: un bypass del 2FA da manuale

Mentre lo studio lavorava per contenere il problema delle mappe, è scoppiato un secondo incidente, distinto dal primo ma altrettanto grave. Il 25 luglio 2026 il PC di un ingegnere di sistema dello studio, a quanto pare infettato proprio mentre indagava sulla crisi in corso, è stato compromesso. Gli attaccanti hanno usato quell’accesso per bypassare l’autenticazione a due fattori sull’account Discord amministrativo dell’ingegnere, modificare i permessi del server e bannare in blocco l’intero staff dal Discord ufficiale del gioco, una community da oltre 100.000 membri.

È un dettaglio che vale la pena sottolineare per chi si occupa di sicurezza: non è stato il 2FA in sé a fallire, ma il dispositivo che lo ospitava. Una lezione che vale ben oltre il mondo dei videogiochi, e su cui torniamo più avanti in questo articolo.

Cronologia completa dell’incidente

Per chiarire la sequenza degli eventi, spesso confusa nelle prime ricostruzioni giornalistiche, ecco una cronologia verificata incrociando le fonti disponibili:

Data	Evento
23 luglio 2026	Il ricercatore Feint rivela la mappa infetta “Laser Tag Neon”
24 luglio 2026	Individuata una seconda mappa dannosa, “Chroma Grid Arena”
25 luglio 2026	Il PC di un ingegnere viene infettato; il Discord ufficiale (100.000+ membri) viene sequestrato tramite bypass del 2FA
25 luglio 2026	Rilasciata la patch 3.1.0, che chiude la falla RCE nelle mappe del Workshop
27-28 luglio 2026	Gli sviluppatori riconquistano il Discord, bannano gli intrusi, rimuovono entrambe le mappe infette
30 luglio 2026	Emergono ulteriori dettagli tecnici; il mini-aggiornamento 3.3.1 corregge il link Discord nella schermata del titolo

La risposta degli sviluppatori: patch 3.1.0 e Discord recuperato

Gli sviluppatori hanno gestito la comunicazione della crisi soprattutto tramite social e note di aggiornamento. Hanno dichiarato che il gioco in sé non conteneva virus o malware, che il problema era limitato alle mappe del Workshop caricate da terzi e al server Discord, e che né il codice sorgente né i sistemi di produzione erano mai stati toccati. La macchina infetta, hanno precisato, era un dispositivo di test secondario e non conteneva materiale sensibile, come riportato da PC Gamer.

Sul fronte Discord, il team ha raccontato di aver contattato immediatamente il supporto della piattaforma per riprendere il controllo del server, dichiarando che – in caso di mancata soluzione – sarebbero stati pronti a crearne uno completamente nuovo piuttosto che lasciare la community senza un canale ufficiale. Alla fine non è stato necessario: il server originale è stato recuperato e gli intrusi banditi, come confermato da GamesRadar+. La situazione si è stabilizzata nel giro di circa cinque giorni dalla prima segnalazione di Feint.

Non è la prima volta: la storia del malware nascosto su Steam Workshop

Per chi segue da vicino la sicurezza informatica, la vicenda di Meccha Chameleon ricorda da vicino episodi precedenti e ne conferma un pattern ormai consolidato: lo Steam Workshop, la piattaforma che permette a chiunque di caricare mappe, mod e contenuti personalizzati per centinaia di giochi, è diventato un vettore d’attacco ricorrente.

Il precedente Wallpaper Engine

Il caso più noto riguarda Wallpaper Engine, l’applicazione che permette di usare sfondi animati sul desktop tramite mod caricate su Steam Workshop. Tra agosto 2025 e il 2026, i ricercatori di Kaspersky hanno documentato una campagna che nascondeva la backdoor DarkKomet e gli infostealer Lumma e Vidar dentro sfondi apparentemente innocui, insieme a cryptominer e in alcuni casi ransomware. Circa l’89% dei bersagli si trovava in Cina, ma la campagna dimostra come lo stesso meccanismo – contenuti generati dagli utenti che superano la revisione automatica – possa essere sfruttato su scala.

Campagna	Periodo	Meccanismo	Coinvolti
Wallpaper Engine	Ago 2025 – 2026	Backdoor DarkKomet + infostealer Lumma/Vidar + cryptominer nascosti in sfondi Workshop	Prevalentemente Cina (~89%)
Operazione FBI “giochi civetta”	Mag 2024 – Feb 2026	Giochi interi (non semplici mod) usati come esca per rubare wallet crypto e credenziali	~80 wallet, ~8.000 vittime stimate
Meccha Chameleon	Luglio 2026	Blueprint Unreal Engine malevolo in mappe Workshop → RAT; attacco separato al Discord via bypass 2FA	2 mappe rimosse, community Discord da 100.000+ membri

Il precedente FBI: giochi civetta e portafogli crypto svuotati

Il parallelo più inquietante arriva da un’indagine dell’FBI resa pubblica proprio a metà luglio 2026, pochi giorni prima dello scoppio del caso Meccha Chameleon. Secondo quanto riportato da TechCrunch il 17 luglio 2026, gli investigatori hanno accusato un ventunenne della Florida, Zyaire Wilkins, di aver pubblicato su Steam una serie di giochi – tra cui titoli chiamati BlockBlasters, Dashverse, Lampy, Lunara e PirateFi – usati come esca per rubare credenziali e prosciugare portafogli di criptovalute tra il maggio 2024 e il febbraio 2026. Il bottino stimato supera i 220.000 dollari, sottratti da circa 80 wallet, per un totale stimato di ottomila vittime.

Tra i casi documentati spicca quello di una streamer su Twitch che ha perso 32.000 dollari in diretta, durante una raccolta fondi per la lotta al cancro, dopo aver installato BlockBlasters. È la dimostrazione più diretta di quanto lo status di “gioco pubblicato su Steam” – una piattaforma percepita come affidabile proprio perché passa attraverso un processo di revisione – possa essere sfruttato come copertura per attività criminali.

Il mercato non si ferma: 15 milioni di copie e il fenomeno “friendslop”

Nonostante due settimane turbolente, non risultano segnali che l’incidente abbia frenato il successo commerciale di Meccha Chameleon. Le oltre 39.000 recensioni Steam restano al 90% “Molto positive” anche dopo la fine della crisi, e secondo Insider Gaming il gioco mantiene la posizione di titolo più venduto del 2026. È un pattern già visto in altri casi di sicurezza legati al gaming quest’anno – dalla violazione dei dati analitici di Rockstar Games alla fuga di account Bandai Namco – dove l’impatto reputazionale immediato tende a essere più contenuto di quanto ci si aspetterebbe, complice anche la rapidità con cui gli sviluppatori indipendenti, meno vincolati da processi aziendali complessi, sono riusciti a comunicare e correggere il problema.

Resta però un rischio strutturale: più un gioco diventa virale, più cresce il numero di giocatori, spesso meno esperti, attirati dal passaparola sui social piuttosto che da una community di lunga data, pronti a scaricare contenuti di terze parti senza verificarne l’origine. È esattamente il profilo di utente che rende lo Steam Workshop un bersaglio interessante per chi sviluppa malware.

Perché lo Steam Workshop resta un bersaglio facile per gli hacker

Il problema di fondo, secondo diversi ricercatori di sicurezza che si occupano di piattaforme di gioco, è strutturale: Steam Workshop ospita contenuti per migliaia di giochi diversi, caricati da milioni di creator, e la revisione automatica di Valve è pensata soprattutto per individuare plagio, contenuti offensivi o violazioni del copyright, non per fare code review di ogni singolo Blueprint di Unreal Engine incluso in una mappa. Un payload rinominato con un nome plausibile, come è successo con BP_AmbientController, può facilmente passare inosservato a un sistema automatizzato che non è progettato per analizzare la logica di ogni singolo nodo.

È lo stesso tipo di debolezza strutturale che negli ultimi anni ha colpito altre catene di distribuzione software apparentemente affidabili, dai pacchetti software ai flussi di autorizzazione di terze parti: quando un ecosistema cresce più in fretta della sua capacità di verificare ogni singolo contenuto caricato, la superficie d’attacco si allarga più velocemente delle difese. Lo abbiamo visto di recente anche nel nostro approfondimento sull’attacco alla supply chain OAuth che ha colpito centinaia di aziende.

La vera lezione di sicurezza: perché il 2FA da solo non basta più

Il bypass del 2FA sull’account Discord è probabilmente l’aspetto più rilevante di questa vicenda per chi si occupa di sicurezza, e quello che rischia di passare in secondo piano rispetto al più “cinematografico” malware nelle mappe di gioco. L’autenticazione a due fattori resta uno strumento efficace contro il furto diretto di password, ma non protegge da un dispositivo già compromesso: se un attaccante ottiene un accesso remoto persistente a un PC, esattamente il tipo di accesso garantito dal RAT distribuito tramite le mappe infette, può intercettare sessioni già autenticate, rubare i cookie di sessione o semplicemente agire attraverso l’account della vittima già loggato, aggirando di fatto la protezione a due fattori senza doverla “rompere” nel senso tecnico del termine.

È una distinzione che vale per qualunque account protetto da 2FA, non solo per Discord, e per chi vuole approfondire il funzionamento di queste protezioni può essere utile il nostro confronto tra le principali app di autenticazione a due fattori.

Come proteggersi: guida pratica per chi gioca a Meccha Chameleon

Per chi ha giocato a Meccha Chameleon nelle due settimane dell’incidente (23-28 luglio 2026), in particolare su mappe del Workshop diverse da quelle ufficiali, alcuni passaggi precauzionali sono consigliabili:

Aggiornare il gioco alla versione 3.1.0 o successiva (attualmente 3.3.1), che chiude la falla RCE nelle mappe del Workshop
Eseguire una scansione completa del sistema con una soluzione antivirus aggiornata
Controllare la cartella Documenti per la presenza di file sospetti come s.bat o script batch non riconosciuti
Rivedere la cronologia di PowerShell alla ricerca di comandi con bypass della policy di esecuzione non avviati manualmente
Cambiare le password degli account sensibili (email, wallet, gestori di password) in caso di sospetta infezione, e riattivare il 2FA da un dispositivo pulito
Evitare mappe del Workshop con poche recensioni o caricate di recente da autori senza una cronologia consolidata

Per chi ha familiarità con la riga di comando, un controllo rapido e non invasivo può aiutare a individuare tracce residue dell’infezione descritta dai ricercatori:

# Controllo illustrativo redatto dalla redazione – NON uno strumento ufficiale del team di sviluppo
# Verifica la presenza del file sospetto segnalato dai ricercatori nella cartella Documenti
Get-ChildItem "$env:USERPROFILE\Documents\s.bat" -ErrorAction SilentlyContinue

# Elenca i processi PowerShell avviati con bypass della policy di esecuzione
Get-CimInstance Win32_Process -Filter "Name='powershell.exe'" |
  Where-Object { $_.CommandLine -match "ExecutionPolicy Bypass" } |
  Select-Object ProcessId, CommandLine

Per un consiglio più generale su come proteggere il proprio sistema da questo tipo di minacce può essere utile anche il nostro confronto tra le principali soluzioni antivirus, Norton 360, Bitdefender e Malwarebytes.

Meccha Chameleon nel contesto degli attacchi al gaming nel 2026

Il 2026 si sta confermando un anno particolarmente intenso per la sicurezza legata al mondo dei videogiochi. Mettere Meccha Chameleon a confronto con altri episodi recenti aiuta a inquadrare la portata reale dell’incidente:

Caso	Azienda/Prodotto	Persone/Dati coinvolti	Causa principale
Rockstar Games	Dati analitici (non dati giocatori)	78,6 milioni di record	Attacco alla supply chain tramite Anodot/Snowflake
Atlas Menu	Community cheat per GTA/CS2	64.000 account di cheater esposti	Violazione dello strumento di cheat stesso
Bandai Namco	Bandai Channel	46.812 account	Hacker quindicenne con l’assistenza di ChatGPT
Meccha Chameleon	Gioco + Discord ufficiale	Community Discord da 100.000+ membri	Malware nelle mappe Workshop + bypass 2FA

Rispetto ai casi Rockstar e Bandai Namco, che hanno coinvolto violazioni dirette di sistemi aziendali o account utente, il caso Meccha Chameleon si distingue per il vettore: non un attacco ai server dello studio, ma ai contenuti caricati dagli utenti e, di riflesso, ai dispositivi dei giocatori stessi.

Cosa aspettarsi nei prossimi mesi: le previsioni

Sulla base di come si sono evoluti casi simili in passato, alcuni scenari appaiono più probabili di altri per le prossime settimane e mesi:

Revisione del Workshop più severa. Dopo la campagna Wallpaper Engine e ora Meccha Chameleon, è plausibile che Valve introduca controlli aggiuntivi sui Blueprint di Unreal Engine caricati tramite Workshop, anche se l’azienda non ha annunciato modifiche specifiche al momento della pubblicazione di questo articolo.
Altri “viral hit” nel mirino. I giochi che esplodono in popolarità in tempi brevissimi, con una base di giocatori inesperti attirata dai social più che da community consolidate, resteranno bersagli attraenti proprio per l’ampiezza della superficie d’attacco.
Più attacchi “endpoint-first” contro il 2FA. È probabile un aumento dei casi in cui gli attaccanti bypassano l’autenticazione a più fattori compromettendo prima il dispositivo, non la piattaforma: un modello già visto qui e in altri incidenti recenti.
Possibili nuove segnalazioni sulle mappe. Una singola fonte non confermata in modo indipendente, un post del ricercatore che ha seguito il caso su X, ha sostenuto che nuove mappe sospette sarebbero apparse dopo la rimozione della prima; se confermato, non sarebbe sorprendente vedere ulteriori rimozioni nelle prossime settimane.
Maggiore attenzione normativa in UE. Con il Digital Services Act che impone obblighi di trasparenza e gestione del rischio sui contenuti generati dagli utenti alle piattaforme più grandi, casi come questo alimentano il dibattito su quanto queste responsabilità debbano estendersi anche alle piattaforme di distribuzione di giochi come Steam.

Domande frequenti su Meccha Chameleon e il malware Steam

Meccha Chameleon è sicuro da giocare adesso?
Sì. La falla che permetteva l’esecuzione di codice remoto tramite le mappe del Workshop è stata chiusa con la patch 3.1.0, e le due mappe infette identificate sono state rimosse dagli sviluppatori entro il 28 luglio 2026.

Cosa devo fare se ho scaricato le mappe infette prima della rimozione?
Aggiornare il gioco all’ultima versione, eseguire una scansione antivirus completa, controllare la cartella Documenti per file sospetti come s.bat e, in caso di dubbio, cambiare le password degli account più sensibili.

Il mio account Steam è a rischio a causa di questo attacco?
Il malware descritto dai ricercatori non ha preso di mira direttamente le credenziali Steam, ma un dispositivo infetto può comunque esporre altre credenziali salvate nel sistema: per questo la scansione del PC resta il passaggio più importante.

Perché il Discord è stato violato se il problema principale era nelle mappe di gioco?
Si è trattato di due attacchi distinti ma collegati: il malware nelle mappe ha infettato il PC di un ingegnere dello studio, e quell’infezione ha poi permesso agli attaccanti di bypassare il 2FA sull’account Discord amministrativo della stessa persona.

Quante persone sono state colpite realmente?
Non esiste una cifra ufficiale delle vittime. Sappiamo che il rischio riguardava chi aveva scaricato volontariamente le due mappe infette dal Workshop e che la community Discord coinvolta contava oltre 100.000 membri, ma nessuna fonte ha pubblicato un numero verificato di dispositivi compromessi.

Cos’è lo Steam Workshop e perché è vulnerabile a questo tipo di attacchi?
È la piattaforma che permette a chiunque di caricare e condividere mappe, mod e contenuti personalizzati per centinaia di giochi diversi. La sua revisione automatica è pensata soprattutto contro plagio e contenuti vietati, non per analizzare la logica di ogni singolo elemento di codice incluso in una mappa.

Chi ha sviluppato Meccha Chameleon?
Un duo indipendente giapponese formato dallo sviluppatore lemorion_1224 e dallo studio Haganeiro, entrambi con esperienza pregressa nella creazione di mappe ed esperienze per Fortnite tramite l’editor UEFN.

Quanto costa Meccha Chameleon in Italia?
Il gioco è disponibile su Steam a 6,15€, prezzo invariato dal lancio del 9 giugno 2026 nonostante il caso di sicurezza.

Meccha Chameleon Hackerato: Malware per 15M di Copie [2026]