Meccha ChameleonのModだと思ったもの：従来の潜伏手法との違い

『Meccha Chameleon（めっちゃカメレオン）』というWindows環境で動作するゲームがあります。
このゲームは現在、世界中で爆発的な人気を誇る大ヒットゲームとなっており、発売からわずか1ヶ月足らずで世界累計売上1,500万本を突破しました。
内容は、真っ白な自分の体に絵を描いてステージの背景に擬態し、鬼の目を欺いて逃げ切る新感覚のマルチプレイかくれんぼゲームです。
日本の個人開発者が開発し、PCゲーム配信プラットフォームの巨頭である「Steam」で公開されています。

PCゲームの世界には、ゲーム内容を改造・拡張するプレイヤー製プログラム「Mod（モディフィケーション）」という文化があります。
見た目の変更や新機能、マップの追加など、ゲームをより長く楽しむための強力な仕組みです。

しかし今回、この『Meccha Chameleon』向けのMod（Steam Workshopで配布されたカスタムマップ）を隠れ蓑にした、極めて悪質なマルウェアドロッパー攻撃が報告されました。
まずは、従来のMod型マルウェアと今回の事例の違いを整理してみます。

なぜこのようなすり抜けが可能だったのか、従来の潜伏手法との決定的な違いを3つのポイントで解説します。

1. 「静的スキャン」を完全に無力化するアセット潜伏
   従来の手法では、ZIPファイルやModフォルダー内に見覚えのない実行ファイル（.exeや.bat）が含まれていることが多く、アンチウイルスソフトやプラットフォーム側のファイル事前検査（静的スキャン）で検知されるケースが大半でした。
   しかし今回の事例では、Unreal Engine 5固有のOodle圧縮されたコンテナファイル（.pak, .ucas, .utoc）内部のブループリント（Blueprint）の中に悪意ある処理を埋め込んでいました。
   ヘッダーやデータ形式は完璧にUE5の正規データそのものであり、Steamの自動事前審査やファイル構造のチェックを完全にすり抜ける設計になっていました。
2. JSONとBatchの特性を悪用した「ポリグロット（Polyglot）」コード
   UE5の正規機能であるデータ書き出し関数（ToFile）は、本来ゲームのセーブデータや設定値をJSON形式で出力するためのものです。
   攻撃者はこの制限を回避するため、「JSONとして正常な構文でありながら、Windowsのコマンドプロンプトで実行するとバッチスクリプトとして動作する」ポリグロット構文を書き出させました。
   この「エンジン側の仕様（JSON出力）」と「OS側の仕様（Batch実行）」の隙間を突いた手法により、ゲームエンジンに不審なシステムコールを行わせることなくOS上に悪意ある .bat ファイル（s.bat）を生成させることに成功しています。
3. ゲームの非同期処理に紛れる「ロード時発動」
   通常、Mod型マルウェアはゲーム起動時やModの適用時に動き出しますが、今回のケースではブループリントの ReceiveBeginPlay（マップの読み込み完了・開始時）にイベントが紐付けられていました。
   対戦ロビーから試合へ移行する一瞬の画面切り替えタイミングでバックグラウンド処理（PowerShellによる外部からの第2段階ペイロード取得）を実行させることで、一瞬コマンドプロンプトが画面に映っても「ゲームやSteamの通常のロード処理」とプレイヤーに誤認させる心理的トラップが仕掛けられていました。

攻撃の全体像（キルチェーン）

1. 侵入: 攻撃者が作成から日の浅いアカウントでSteam Workshopに『Laser Tag Neon』等の悪意あるマップを投稿（コメント欄は非表示化）。
2. 展開: プレイヤーがロビー経由で該当マップを読み込む。
3. ドロップ: UE5ブループリントの ReceiveBeginPlay が起動し、Documents フォルダ内に s.bat（ポリグロット構造）を出力。
4. 実行: 非表示のPowerShellプロセスを起動し、実行ポリシー（ExecutionPolicy）をバイパスした上で、外部サーバー（C2）から第2段階のペイロード（steamb.bat）をフェッチ・実行。
5. 感染: 最終的なペイロードであるRAT（遠隔操作ツール）がPCにインストールされ、バックドアが構築される。

今回の事例は、「Steam Workshopに投稿されているアセットファイル（.pak等）であっても、ゲームエンジンの機能を悪用して外部スクリプトをドロップ・実行できる」という新たな脅威モデル（サプライチェーン攻撃）を実証してしまいました。
Modは、ファンが有志でバグを修正したり、グラフィックを劇的に美しくしたり、新しいステージを追加したりと、PCゲーム文化を支える素晴らしい仕組みです。
しかし、人が集まる場所には悪意を持った人間も集まります。
私たち利用者が被害を防ぐためには、以下の点に注意する必要があります。

• 新規アカウントの投稿に注意: アカウント作成から日が浅いユーザーのコンテンツは警戒する。
• コミュニティの反応を見る: コメント機能が意図的にオフにされているコンテンツのサブスクライブは避ける。
• 確立されたコンテンツを選ぶ: 評価数が多く、プレイヤーベースが確立している有名なModを中心に利用する。

ゲームの開発側だけでなく、利用者側もセキュリティ意識を持って向かい合うことが求められています。

Workshop map for MECCHA CHAMELEON is a malware dropper (full breakdown)
https://medium.com/@FeintBE/workshop-map-for-meccha-chameleon-is-a-malware-dropper-full-breakdown-d1ac29565265