Steam创意工坊成黑客温床？下个游戏地图可能让你中木马

涂鸦躲猫猫游戏《MECCHACHAMELEON》（《超级变色龙》）相信很多朋友即便没亲手玩过，也在短视频上刷到过。自 6 月 10 日上架 Steam 以来，它仅用 16 天销量便突破 1000 万份，成为今年游戏圈最大黑马。

然而人红是非多，游戏也一样——它的爆红立刻引来了黑客的注意。近日有网络安全人员在 Reddit 发布警告称，社区地图 Laser Tag Neon、Chroma Grid Arena 等被植入了病毒。一旦玩家启动这些地图，游戏会在后台静默打开命令提示符窗口，并悄悄下载恶意程序。

已有一名《超级变色龙》的地图开发者中招。恶意软件感染其电脑后，黑客利用这台电脑的权限，一度完全控制了该游戏的官方 Discord 服务器。而普通玩家更容易中招：只需从 Steam 创意工坊正常下载并启动这些带毒地图，后台便会运行不可见的命令提示符并下载真正的木马。

那么问题就来了：为什么只是下载一个创意工坊地图就会中招？其实 Steam 创意工坊的第三方内容并不等同于普通文件下载。许多游戏在加载地图或 MOD 时，会借助附加脚本（如 .bat 批处理文件）来实现特殊玩法，这便给恶意程序留下了可操作空间。

事实上，这已经不是 Steam 创意工坊第一次被黑客盯上。一个月前，卡巴斯基的安全研究人员就发现，有黑客将恶意程序伪装成热门壁纸软件 Wallpaper Engine 的壁纸安装包。用户启动受感染的壁纸后，恶意程序便会植入一个属于 DarkKomet（暗彗星）家族的后门，同时静默安装篡改过的系统库文件，以窃取 Steam 登录凭证并劫持账号会话。

由此可见，Steam 创意工坊在某种程度上已成为黑客攻击的跳板。但 Valve 对此恐怕是有心无力，甚至无意严管。

Valve 在 2021 年仅有 336 名员工（其中 Steam 运营 79 人），相比腾讯、微软等巨头，规模可谓袖珍。然而 Steam 仅 2025 年就上新了超过 2 万款游戏，即使有心预审海量的第三方内容，人手也完全不够。此外，Valve 恐怕也不愿意严格审查创意工坊——因为这与其社区生态的开放理念相悖。

目前，Steam 创意工坊采用“分类分级审核制”：《CS2》《DOTA2》等自家游戏的开发者首次发布地图时需通过邮件验证并人工预审，而第三方游戏的内容则直接发布后监管。毕竟，创意工坊是无数玩家自由创作的乐园，许多游戏正是靠社区作品才焕发活力。如今，它已是 Steam 核心竞争壁垒，让 Steam 从一个简单的“游戏商店”进化为充满活力的“游戏社区”，赋予玩家塑造游戏世界的权利。这一点，正是它区别于 Epic 等平台的独特魅力。玩家甚至能通过捐赠、赞赏等途径变现，边玩游戏边赚钱；而海量优质内容反过来又刺激游戏销量，形成双赢。

正因如此，即便存在被黑客搭便车的风险，Valve 也不太可能升级审查。那么我们普通人该如何自我保护？方法很简单：下载创意工坊内容时，优先选择已被广大玩家验证过的热门作品。

毕竟现在的黑客大多“图财不图名”，更倾向于低调行事。这次涉事的 Laser Tag Neon、Chroma Grid Arena 都算不上热门地图，因此波及范围有限。

如果你想深入了解游戏安全攻防，欢迎来云栈社区看看。