大人気ゲーム「めっちゃカメレオン」のコミュニティマップにマルウェアが仕込まれていてユーザーのPCが乗っ取られる事態が発生

日本のインディーゲーム開発者によって2026年6月にリリースされてから約1カ月で累計販売本数1500万本を達成したかくれんぼゲーム「めっちゃカメレオン」では、コミュニティによって制作された独自のマップをSteamワークショップから追加して遊ぶことができます。そんなコミュニティマップにマルウェアが含まれており、公式DiscordサーバーやユーザーのPCが乗っ取られる事態が発生しました。

Workshop map for MECCHA CHAMELEON is a malware dropper (full breakdown)
https://medium.com/@FeintBE/workshop-map-for-meccha-chameleon-is-a-malware-dropper-full-breakdown-d1ac29565265

Hackers hit the biggest game of year with malware that let them take over users' PCs
https://www.polygon.com/mecca-chameleon-malware-attack-hackers/

独立系研究者のFeint氏は2026年7月23日に、「めっちゃカメレオン」のコミュニティマップ「Laser Tag Neon」などにマルウェアを端末に展開・インストールするドロッパーが含まれていることを報告しました。なお、Feint氏は実際にゲームをプレイした友人から報告を受けて調査を開始しましたが、Steamレビューには7月8日の時点でマルウェアによるハッキングが報告されていました。

報告によると、Steamがコミュニティマップをダウンロードしている最中に「黒いコマンドプロンプトウィンドウが画面に一瞬表示されすぐに消える」という動作が確認されたとのこと。クラッシュやエラーメッセージ、その他の異常な動作は一切なかったため、Steamがバックグラウンドプロセスを実行しているだけの可能性もありましたが、Steamワークショップからのダウンロード中やマッチの起動中にコンソールウィンドウが表示されるのは異例だったため、Feint氏は詳しく調べてみることにしたそうです。

調査の結果、ダウンロードされたコミュニティマップのフォルダ内には不審なものは何もなく、実行ファイル・DLL・バッチファイル・スクリプトは一切含まれていませんでした。また、アセットファイルをスキャンしても実行ファイルは確認されませんでした。このフォルダを手動でマルウェアチェックしたとしても、明らかな危険信号は何も見つからないため、Steamワークショップの審査を通過していたと考えられます。

さらに詳しく調べると、マップのデータを管理する「AssetRegistry.bin」というファイルから、不自然な名前のデータが見つかりました。AssetRegistry.binは、マップ内にどんなオブジェクトが配置されているのかを記録したファイルで、通常なら照明やプレイヤーの開始地点などゲーム内で使用するオブジェクトの名前が並んでいます。

ところが、その中に「BP_RCE_Test_C_0」という名前のオブジェクトが含まれていました。そのクラスは「BP_AmbientController_C」という名前で、「環境や照明などのフォルダ」に表示されることから、無害な環境システムまたは照明関連システムを示唆しているように見えますが、配置済みのオブジェクトには以前の「BP_RCE_Test」という名前が残っていました。Unreal Engineでは、後から名前を変更してもすでにマップへ配置したオブジェクトの名前は維持されます。そのため、以前このBlueprintが「BP_RCE_Test」という名前だったことを示す痕跡として調査対象になりました。

そこでFeint氏は、ゲームのデータが入っているUnreal Engine 5のアセットコンテナを展開して、内部に何が含まれているのかを詳しく調べました。すると、マテリアル・メッシュ・テクスチャ・4つのマップ・3つのBlueprintなど全部で55個のデータが発見されました。そのうち、特に目立った1つのBlueprintに集中している処理を詳しく解析することにしました。解析の結果、その処理はWindows上にファイルを書き込む処理を実行していることが判明。具体的には、ゲームを開始した際にユーザーの「ドキュメント」フォルダを特定し、そこへ「s.bat」というバッチファイルを作成する仕組みになっていました。

さらに、Blueprintの中には、JSONとして扱える一方でバッチファイルとして実行するとコマンドとして機能する特殊な文字列が埋め込まれていました。調査者はこれを「JSON/batch polyglot」と説明しています。BlueprintにはJSONデータをファイルへ書き込む処理があるため、この文字列はJSONとして保存できる形式を保ちながら、バッチファイルとして実行可能なコマンドも含むよう意図的に構成されたものとみられています。

書き出されたバッチファイルの役割を調べると、2段階の処理を行うことも分かりました。最初に実行されると自分自身をもう一度起動してすぐ終了することで、一瞬だけ黒いコマンドプロンプト画面が表示されます。第2段階では、影響を受けたシステムにリモートアクセス型トロイの木馬(RAT)がダウンロードおよびインストールされ、攻撃者は侵害されたPCをリモートで制御できるようになったことが判明しました。これは、単にバッチファイルを実行するだけでなく、感染したマシンへの永続的なリモートアクセスを可能にするため、攻撃の深刻度を大幅に高めます。つまり、このバッチファイルそのものが最終的なペイロードではなく、別の悪意あるプログラムを呼び込む「ドロッパー」として機能していたと考えられます。

Feint氏は「調査では直接観察できなかった部分も残っていましたが、私が調べた限りではSteamワークショップのマップがユーザーのドキュメントフォルダに.batファイルを書き込みその後別のファイルをインターネットから取得するのは不自然であり、このワークショップアイテムは悪意のあるものである可能性が非常に高いと考えています」と語りました。また、Feint氏が調査した「Laser Tag Neon」はSteamワークショップから削除されていますが、その他にも悪意が含まれていると考えられるマップで削除されていないものもあるため、「プレイヤー基盤が確立されている人気のマップのみをダウンロードしてください。アップロード者が真新しいSteamアカウントだったり、ワークショップアイテムのコメント機能を無効にしている場合は、重大な危険信号だと考えてください」と警告しています。

Feint氏の報告から数日後、「めっちゃカメレオン」の開発者であるはがねいろ氏とレモリオン氏はゲームの脆弱(ぜいじゃく)性を修正した「バージョン3.1.0」をリリースしました。しかし、ハッキングを削除する過程で開発者のPCがマルウェアに感染し、ハッカーがそれを利用して10万人のメンバーがいる「めっちゃカメレオン」のDiscordサーバーを乗っ取る事態が発生しました。レモリオン氏はXの投稿でDiscordサーバーから退出を呼びかけたほか、「MODマップにマルウェアが仕込まれている問題を修正中に、システムエンジニアのPCがマルウェアに感染しました。その後エンジニアのdiscordの2段階認証を突破し、サーバーの権限を変更し、運営全員をBANしました」と説明しました。なお、ゲーム本体にウイルスは100％存在せず、感染したPCも予備のものでありゲームのデータが編集される恐れはないとのこと。

レモリオン氏の最初の報告から約30時間後、Discordに連絡した上でチャンネルへのアクセスを取り戻したことが告知されました。

同日午後にはゲームのミニアップデートの「バージョン3.3.1」が配信され、タイトル画面のDiscordURLが修正されたほか、ウイルス対策をさらに強化したことが報告されています。