El juego independiente más popular de Steam está bajo sospecha de contener malware.

Uno de los mayores éxitos de Steam en 2026 se vio repentinamente envuelto en una crisis de seguridad. Un investigador de seguridad descubrió que el mapa Meccha Chameleon Workshop, creado por la comunidad, contenía código diseñado para escribir archivos fuera del juego y ejecutar un proceso oculto de PowerShell que intentaba descargar una carga útil adicional desde un servidor externo.

¿Cómo un mapa personalizado se convirtió en malware?

La investigación, publicada por el investigador de seguridad Feint , comenzó después de que los jugadores notaran que una ventana del Símbolo del sistema aparecía brevemente en sus pantallas mientras Steam descargaba un mapa personalizado de Workshop llamado Laser Tag Neon. Tras un análisis más detallado, el investigador descubrió que el mapa no ocultaba un archivo ejecutable en el sentido tradicional. En cambio, explotaba la lógica de Unreal Engine 5 Blueprint para escribir un archivo por lotes en la carpeta Documentos del usuario antes de ejecutar un proceso oculto de PowerShell.

Según el análisis de ingeniería inversa, el script intentó descargar y ejecutar un archivo por lotes de la segunda etapa desde un servidor externo preprogramado. Sin embargo, durante las pruebas, esta descarga arrojó un error 404, lo que significa que la carga útil final nunca se recuperó y su propósito original sigue siendo desconocido. No obstante, el comportamiento en sí —escribir archivos ejecutables fuera del directorio del juego e invocar PowerShell— es muy inusual para el mapa de Workshop y sugiere fuertemente una intención maliciosa.

Los investigadores dejaron de identificar la familia de malware final porque la carga útil de la segunda etapa no estaba disponible durante el análisis. Sin embargo, concluyeron que el componente Workshop debía considerarse malicioso basándose en varios indicadores, entre ellos su lógica de ejecución oculta, su origen Blueprint disfrazado y los intentos de obtener código externo.

¿Porque es esto importante?

Meccha Chameleon no es un juego indie cualquiera . Desde su lanzamiento el mes pasado, este exitoso juego multijugador ha vendido alrededor de 15 millones de copias, y analistas de la industria informaron recientemente que generó los segundos mayores ingresos para juegos de PC este mes, solo superado por Fortnite. Esta enorme audiencia lo convierte en un objetivo atractivo para los atacantes que buscan explotar el contenido generado por la comunidad.

A diferencia de las instalaciones manuales de mods tradicionales, el contenido de Workshop suele descargarse automáticamente al unirse a sesiones multijugador o al suscribirse a mapas de la comunidad. En este caso, el comportamiento malicioso estaba integrado en lo que parecía ser un componente perfectamente normal de Unreal Engine, lo que dificultó su detección con un análisis rápido.

Aunque la vulnerabilidad de seguridad ya se ha corregido y el mapa malicioso del taller se ha eliminado, este incidente sirve como recordatorio para extremar las precauciones al usar contenido generado por la comunidad. Los jugadores deben usar mapas y mods de desarrolladores de confianza, consultar las valoraciones y reseñas de la comunidad antes de descargar, mantener su antivirus activado y asegurarse de que tanto Steam como sus juegos estén actualizados. Si bien la mayoría del contenido del taller es completamente seguro, este caso demuestra que una sola descarga maliciosa puede colarse y suponer un riesgo para la seguridad.