Über einen der größten Steam-Hits 2026 nahmen Hacker die PCs nichtsahnender Spielern ein

Der Steam Workshop hat maßgeblich zum Erfolg von Meccha Chameleon beigetragen. Hier warten Hunderte Karten, etwa zu Minecraft oder Backrooms.

Das Multiplayer-Versteckspiel Meccha Chameleon gilt aktuell als größter Überraschungshit des Jahres: Kaum jemand hat es kommen sehen und plötzlich waren auf Steam über 340.000 Spieler gleichzeitig online. Doch ausgerechnet das größte Feature des Titels entwickelte sich über das Wochenende zum Albtraum für die Community: der Steam Workshop.

Gefährliche Workshop-Karten schmuggelten Schadsoftware auf die PCs von Spielern, und zu allem Überfluss übernahmen die Angreifer kurzzeitig sogar den offiziellen Discord-Server des Entwicklerteams.

So funktionierte der Hack

Das Problem steckte in der Art und Weise, wie Meccha Chameleon von der Community erstellte Maps verarbeitet. Da der Titel auf der Unreal Engine basiert, nutzen Ersteller die visuelle Skriptsprache Blueprint.

Bereits im Juni 2026 wies der Security Engineer Khael Cougler auf eine theoretische Sicherheitslücke in Meccha Chamelon hin. Angreifer nutzten dabei den eigentlich harmlosen Befehl »Launch URL« – der normalerweise dazu dient, Spieler per Klick auf Webseiten wie YouTube zu leiten. In Kombination mit manipulierten Pfadangaben in den Map-Ordnern gelang es den Hackern, eine lokal mitgelieferte Batch-Datei auf dem PC der Opfer auszuführen.

Maps, wie das inzwischen entfernte »Laser Tag Neon«, führten beim Laden im Spiel dann im Hintergrund ein PowerShell-Skript aus. Dieses versuchte, einen Remote Access Trojaner von einem externen Server nachzuladen, um die volle Kontrolle über den betroffenen Rechner zu erlangen. Da der Server der Angreifer allerdings rasch offline ging, blieb die zweite Stufe der Infektion in vielen Fällen glücklicherweise stecken.

0:22 Meccha Chameleon: Auf Steam ist gerade eine Versteckspiel in aller Munde, bei dem ihr zum Pinsel greift

Gehackt während der Fehlersuche

Als ob infizierte Community-Karten nicht schon genug Ärger wären, legten die Hacker kurz darauf nach. Während ein System-Engineer des Entwicklerteams den Vorfall untersuchte, wurde sein eigener Rechner gekapert.

Die Angreifer rissen daraufhin die Kontrolle über den offiziellen Discord-Server an sich, entzogen dem echten Team alle Rechte und warfen die Mitarbeiter hochkant vom Server. Um die Verwirrung komplett zu machen, streuten die Hacker gefälschte Ankündigungen: Das neueste Spiel-Update von Meccha Chameleon enthalte angeblich selbst einen Trojaner.

Inzwischen gibt das Entwicklerteam Entwarnung: Der Discord-Server konnte wiederhergestellt werden, die verseuchten Workshop-Dateien flogen von Steam und der gekaperte Entwickler-PC wurde vollständig plattgemacht. Da es sich bei dem infizierten Gerät um ein reines Test- und Backup-System handelte, hatten die Hacker laut Entwicklerangaben zu keinem Zeitpunkt Zugriff auf den Quellcode des Hauptspiels.

1

Neu bei Steam: Aufbau-Fans bekommen diese Woche Piraten, Produktionsketten und eine eigene Flotte

von Dennis Zirkler

2

Keine Regeln, keine Ziele: Ungewöhnliche Simulation erreicht bei Steam 93 Prozent positive Reviews [Best of GameStar]

von Dennis Zirkler

3

Wenn für einen Entwickler alles nach Plan verlaufen wäre, hätte es einen der größten Steam-Hits überhaupt nie gegeben

von Tristan Gudenrath

Ein altbekanntes Problem

Der Vorfall zeigt aber erneut ein massives Steam-Problem: Valve verteilt Workshop-Inhalte im Wesentlichen als einfache Ordnerstruktur auf eure Festplatte. Eine tiefgehende automatische Sicherheitsprüfung auf versteckte Skripte auf Inhaltsdateien findet kaum statt. Wenn Entwickler in ihren Spielen selbst keine strengen Schranken für externe Befehle einbauen, bleiben Lücken wie in Meccha Chameleon ein gefährliches Einfallstor für Angreifer.

Auch der bekannte YouTuber Mutahar von SomeOrdinaryGamers widmete dem Fall eine ausführliche Analyse und warnt eindringlich davor, ungeprüfte Mod-Inhalte herunterzuladen.

Habt ihr Meccha Chameleon in den letzten Tagen gespielt oder ladet ihr euch regelmäßig Maps aus dem Steam Workshop herunter? Achtet ihr bei Mod-Inhalten auf die Herkunft oder habt ihr euch darüber bislang gar keine Gedanken gemacht? Schreibt es uns gerne in die Kommentare.