Mapas del taller Meccha Chameleon propagan malware: lo que debes saber

Meccha Chameleon ha sido la historia de éxito más extraña del año, y esta semana se le sumó el susto de seguridad más extraño del año. El juego de escondite de 6 dólares de los desarrolladores japoneses lemorion1224 y haganeiro_fn vendió 15 millones de copias en menos de un mes, lo suficiente para convertirlo en el título más vendido de 2026 hasta el momento, superando a EA Sports FC, Resident Evil Requiem, Forza Horizon 6, ARC Raiders y Slay the Spire II. En junio, ocupó el segundo lugar solo por detrás de Fortnite en ingresos para PC en un conjunto de mercados occidentales, por delante de Counter-Strike 2, Valorant y League of Legends, según cifras de Newzoo compartidas por GamesIndustry.biz. Luego, algunos de sus mapas de Workshop comenzaron a distribuir malware silenciosamente.

El problema salió a la luz en una publicación en Medium de un usuario llamado Feint, recogida por Kotaku. y luego PC Gamer. Feint empezó a investigar después de que unos amigos le avisaran de algo raro durante una partida: una ventana negra de la consola que apareció durante un segundo mientras se descargaba un mapa de Workshop. Lo que encontró fue un mapa que parecía completamente normal, pero que ocultaba un dropper.

"...un mapa de taller aparentemente ordinario que contenía lo que parece ser un programa malicioso, a pesar de haber pasado la revisión del taller."

— Finta

La carpeta contenía únicamente archivos de recursos estándar de Unreal Engine 5, sin ejecutables ni scripts, razón por la cual superó la revisión. El código malicioso se encontraba dentro de un Blueprint disfrazado de controlador de iluminación o ambiente. En los mapas afectados, se ejecutaba automáticamente al cargarse el nivel, escribía un archivo por lotes en la carpeta Documentos del jugador y, a continuación, iniciaba un proceso oculto de PowerShell para descargar un segundo script de un servidor externo y ejecutarlo. El veredicto de Feint fue contundente: el elemento es "muy probablemente malicioso", aunque no pudo supervisar la ejecución de cada eslabón de la cadena. No encontró ninguna razón legítima para que un mapa escribiera un archivo por lotes en la carpeta Documentos y luego descargara y ejecutara otro desde internet.

Durante un tiempo, la segunda fase fue un misterio, ya que el servidor estaba fuera de línea cuando se realizó el primer análisis. Una actualización posterior del informe resolvió ese problema, y aquí viene lo peor: el script recuperado instaló un troyano de acceso remoto, lo que le dio al atacante el control remoto de las PC infectadas. Esto convierte lo que parecía una rareza en una verdadera vulnerabilidad para cualquiera que haya ejecutado un mapa afectado antes de aplicar el parche.

El primer mapa que fue eliminado fue Laser Tag Neon. Tras su eliminación, apareció otro llamado Chroma Grid Arena en su lugar, siguiendo el patrón habitual: se elimina un mapa y se añade uno nuevo. Ambos provenían de cuentas de usuarios recién creadas, con los comentarios y las valoraciones desactivados, un mapa que conviene ignorar de inmediato.

El desarrollador Haganeiro confirmó la solución en una publicación de los desarrolladores en X. La actualización 3.1.0 corrige la vulnerabilidad que permitía a los mapas de Workshop ejecutar código, y el estudio indicó que el malware se ha desactivado en los mapas afectados tanto antes como después del parche. Todos los mapas maliciosos identificados hasta el momento han sido eliminados, aunque nada impide que aparezcan otros nuevos más adelante.

Los problemas no se limitaron a los mapas. El Discord oficial del juego, con cerca de 100.000 miembros, fue hackeado en el mismo lapso. En una publicación del blog de Steam, el estudio dijo que se había puesto en contacto con el soporte de Discord y que podría habilitar un nuevo servidor si el anterior no se podía recuperar. El desarrollador lemorion1224 explicó la cadena de ataques: la PC de un ingeniero de sistemas se infectó mientras solucionaba la vulnerabilidad del mapa, y el atacante usó esa puerta de entrada para eludir la autenticación de dos factores del ingeniero, reescribir los permisos del servidor y expulsar al personal. Una respuesta de Jeff en X, "Tu Discord está jodido, tío", reflejó el ambiente. Se advirtió a los jugadores que no hicieran clic en ningún enlace sospechoso publicado en el servidor comprometido.

Si has jugado recientemente a mapas personalizados de Meccha Chameleon, la limpieza es sencilla. Actualiza a la versión 3.1.0. Ejecuta un análisis con un programa como Malwarebytes. Revisa tus carpetas Documentos y Temp en busca de archivos.bat desconocidos creados recientemente, y consulta las entradas de inicio y el Programador de tareas en busca de cualquier archivo que no reconozcas. Suscribirse a un mapa por sí solo no activa nada; el código se ejecuta cuando comienza la partida, así que si solo te suscribiste y nunca lo iniciaste, basta con cancelar la suscripción.

No suelo jugar a juegos competitivos como el escondite, ya que prefiero dedicar mi tiempo a juegos más pausados y con historias más elaboradas, así que este nunca iba a ser mi juego principal. Lo que me mantiene enganchado es la historia que lo rodea: un lanzamiento de 6 dólares que superó en ventas a casi todos los demás, pasando de 5 millones de ventas en solo 10 días a un género que nadie esperaba, y luego un sistema de desarrollo de Workshop que se volvió en contra de sus propios jugadores. Aun así, jugaría algunas partidas con amigos, pero primero actualizaría a la versión 3.1.0 y me limitaría a mapas populares con historiales de comentarios reales.

Hay un punto más importante detrás de los detalles. Meccha Chameleon se basó en el contenido de los usuarios y la viralidad en redes sociales, y esa misma superficie abierta y participativa fue la que se explotó. Su bajo precio y sus bajos requisitos de especificaciones, características que el analista de Newzoo atribuyó a su éxito comercial, también significan una enorme audiencia casual que, en su mayoría, no se lo pensará dos veces antes de jugar un mapa de la comunidad llamativo. La escala, la posibilidad de crear mods libremente y una comunidad poco preocupada por la seguridad lo convierten en un objetivo tentador, y este no será el último intento. La reseña de PC Gamer sigue calificando al juego base como "una versión deliciosamente sofisticada del escondite", y el malware no cambia eso. Simplemente aumenta el costo de ignorar el origen de las descargas de Workshop.