下个地图就中木马？Steam 创意工坊成了黑客乐园

涂鸦躲猫猫游戏《MECCHACHAMELEON》（《超级变色龙》）相信有不少朋友不是亲身体验过，就是在短视频平台刷到过它的视频切片。自从 6 月 10 日登陆 Steam 以来，这款游戏仅用 16 天就在全球收获了突破 1000 万份的累计销量，成为今年截至目前游戏圈最大的一匹黑马。

然而人红是非多，游戏也一样，《超级变色龙》的走红让它进入了黑客的视野。近日有网络安全人员在 Reddit 上发帖称，包括 Laser Tag Neon、Chroma Grid Arena 在内的部分社区地图中被植入了病毒，玩家启动这些地图后，游戏会在后台打开不可见的命令提示符窗口，并下载恶意程序。

目前已有一位《超级变色龙》的地图开发者中招，TA 的电脑被恶意程序感染后，黑客顺着这台电脑的权限，一度控制了该游戏的官方 Discord 服务器。而玩家中招的方式更简单，即便是正常从 Steam 创意工坊下载的《超级变色龙》第三方地图，这些带毒的地图一旦下载完成，就会在玩家电脑的后台打开不可见的命令提示符窗口，并下载真正的木马程序。

那么问题就来了，为什么只是在 Steam 下载一个地图就会中招？其实 Steam 创意工坊中的第三方内容并不像普通文件下载，许多游戏在加载地图或 MOD 时会通过附加的脚本、也就是批处理程序（.bat 文件）来实现玩法，这就给恶意程序留下了可操作空间。

其实这已经不是 Steam 创意工坊第一次出事，就在一个月前，卡巴斯基的安全研究人员发现，有黑客将恶意程序伪装成热门软件壁纸引擎（Wallpaper Engine）的壁纸安装包。一旦用户启动受感染的壁纸，恶意程序便会在设备中植入一款属于暗彗星（DarkKomet）恶意软件家族的后门程序，同时静默安装篡改后的系统库文件，以盗取用户的 Steam 登录凭证、劫持账号在线会话。

从某种意义上来说，Steam 创意工坊已经成为了黑客攻击的策源地。然而对于创意工坊被黑客利用，Valve 方面可能既不想管，也管不了。

说管不了，是因为 Valve 没有足够的审核人员。知名科技媒体 TheVerge 此前曝光的一份法庭文件显示，Valve 在 2021 年共有 336 名员工，其中游戏开发 181 人、Steam 运营 79 人、硬件开发 41 人、行政 35 人。

不同于腾讯、微软、索尼、育碧、EA 这样的游戏大厂，Valve 在人数上可以说是名副其实的 " 小公司 "。与之相对应的，是 Steam 仅 2025 年一年就发布了超过 2 万款游戏，所以即便想要进行预审，Valve 也是心有余而力不足。再加上 Valve 恐怕也不愿意对第三方游戏的创意工坊内容，进行严格审查。

目前，Steam 创意工坊实行 " 分类分级审核制 "，《CS2》《DOTA2》等 Valve 自家游戏对首次发布者实行强制邮件验证叠加人工预审，第三方游戏则是发布即公开（事后监管）。这是因为 Steam 创意工坊是无数玩家自由创作的乐园，许多游戏也正是因为创意工坊里的有趣作品，才有了更多的玩法。

如今创意工坊已经是 Steam 核心竞争力的关键组成部分，也让 Steam 从一个 " 游戏商店 " 成为了充满活力的 " 游戏社区 "，并赋予玩家定义和塑造游戏世界的权力。有了创意工坊，Steam 里的玩家既是消费者、也是创造者，这就是该平台有别于 Epic 游戏商城等同类平台的市场竞争力所在。

玩家甚至可以通过捐赠、赞赏等外部支付方式来完成变现，真正实现通过游戏赚钱。不仅如此，创意工坊里的大量优质内容自然会提升游戏销量，所以游戏开发者也乐见玩家在创意工坊中创造出更多内容。

因此即便创意工坊存在被黑客搭便车的现象，Valve 也不太可能升级审查力度。那么，大家应该如何避免被黑客从创意工坊攻击呢？答案其实很简单，那就是如果要下载创意工坊中的内容，选择已经被其他玩家下载过的热门选项即可。

毕竟现在的黑客一般是 " 图财 "、而非 " 邀名 "，他们奉行的往往是 " 悄悄的进村，打枪的不要 "，基本不会进行大规模攻击。比如，这次《超级变色龙》的 Laser Tag Neon、Chroma Grid Arena 就都算不上热门内容。

【本文图片来自网络】