Wenn Entwickler Assets von einem Marktplatz herunterladen, erwarten sie 3D-Modelle, Texturen und Rigs, keine Malware. Doch genau das ist den Nutzern von Fab.com, dem von Epic Games betriebenen Asset-Marktplatz, passiert. Wie bisher bekannt, haben 39 Verkäufer unwissentlich Autodesk Maya-Szenendateien hochgeladen, die mit einem sich selbst replizierenden Python-Wurm infiziert waren, der dann an Käufer verteilt wurde, bevor das Problem erkannt und behoben wurde.

Der Vorfall erinnert daran, dass keine Download-Plattform, unabhängig von ihrem Ruf oder den vorhandenen Sicherheitsvorkehrungen, als völlig risikofrei angesehen werden kann. Und er unterstreicht einen Punkt, der für jeden Kreativprofi gilt: Eine moderne Cybersicherheitslösung gehört auf jeden Rechner, auf dem Sie arbeiten, auch auf die, die Sie für 3D-Arbeit, Animation und Design verwenden.

Was geschah: AV-Comparatives entdeckte infizierte Angebote auf Fab.com und informierte Epic Games im Rahmen eines verantwortungsvollen Offenlegungsprozesses. Epic Games reagierte umgehend, benachrichtigte die betroffenen Nutzer, entfernte die Angebote und setzte ein neues Erkennungstool ein, wodurch das Problem innerhalb der üblichen 90-Tage-Frist behoben wurde.

Was Fab.com ist und wer es nutzt

Fab.com wurde Ende 2024 als Epic Games’ vereinheitlichter Marktplatz für digitale Assets ins Leben gerufen, der die früheren Plattformen Unreal Engine Marketplace, Sketchfab Store und Quixel zu einer einzigen Plattform zusammenfasst. Er dient Spieleentwicklern, 3D-Künstlern und Studios, die sich auf Drittanbieter-Assets (Modelle, Animationen, Umgebungen, VFX, Plugins) verlassen, um ihre Produktionsabläufe zu beschleunigen. Viele der Nutzer arbeiten mit Autodesk Maya, einer der am weitesten verbreiteten 3D-Animations- und Modellierungsanwendungen der Branche.

Die Malware: MEL/Vacphage.A, ein Wurm, der sich über Ihre Projekte verbreitet

Bei der in den betroffenen Listen gefundenen Bedrohung handelt es sich um ein Python-Skript, das als selbstvervielfältigender Wurm geschrieben wurde und speziell auf die Autodesk Maya-Umgebung abzielt. ESET hat diese Bedrohung erkannt als MEL/Vacphage.A mindestens seit Januar 2021. Bitdefender erkennt ihn als Generic.MayaWorm.Phage.A, und Microsoft als Virus:Python/Vaccworm!MTB.

Die Ursprünge des Wurms sind seit 2021 öffentlich dokumentiert. A GitHub Gist des Sicherheitsforschers mottosso enthält den vollständigen entschleierten Quellcode und eine Analyse seines Verhaltens. Die Kopfzeile des Codes ist auf Chinesisch geschrieben und lautet übersetzt: “Dies ist nur für den internen Gebrauch des Unternehmens bestimmt. Ich übernehme keine Verantwortung für die Folgen, wenn es durchsickert.”. Der Autor bezeichnet sich selbst als “der unbeugsame und weise General”. Dies deutet stark darauf hin, dass das Skript ursprünglich ein internes Tool zum Schutz der Maya-Umgebung in einem chinesischen Studio war, das später durchsickerte, umfunktioniert wurde und sich als Wurm über gemeinsam genutzte Szenendateien in der weltweiten 3D-Kunst-Community zu verbreiten begann. Was als studiointernes Bereinigungsskript begann, wurde durch das Durchsickern und die Weiterverbreitung zu einer der hartnäckigsten Bedrohungen im Maya-Ökosystem.

Wie die Infektion funktioniert

Die betroffenen Dateien sind Maya Binary (.mb) Dateien, kompilierte 3D-Szenendateien, die Maya direkt lädt. Die forensische Analyse einer bestätigten Probe zeigt die folgende Infektionskette:

Schritt 1: Erster Kompromiss. Wenn ein Benutzer die infizierte Datei öffnet oder ausführt .mb Datei, wird das eingebettete Python-Skript sofort ausgeführt. Es überschreibt userSetup.py, ein legitimes Maya-Startskript, das bei jedem Start von Maya automatisch ausgeführt wird. Es legt auch eine Datei namens impfstoff.py in den Ordner Maya-Skripte. Die Namensgebung ist absichtlich ironisch: Der “Impfstoff” ist selbst der Virus.

Schritt 2: Beharrlichkeit. Von diesem Zeitpunkt an beginnt Maya jedes Mal, userSetup.py Startet impfstoff.py im Hintergrund, ohne dass der Benutzer darüber informiert wird.

Schritt 3: Ausbreitung. impfstoff.py untersucht jede Maya-Szenendatei, die der Benutzer öffnet oder erstellt, und bettet eine Kopie des schädlichen Codes in sie ein. Der Wurm ist nun Teil dieser Projektdatei. Wenn diese Datei an einen Kollegen gesendet, auf ein freigegebenes Laufwerk hochgeladen oder in die Versionskontrolle aufgenommen wird, wird die nächste Person, die sie öffnet, infiziert.

Schritt 4: Stille Verbreitung. Während des normalen Betriebs gibt es keine sichtbaren Anzeichen für eine Infektion. Der Wurm verbreitet sich unbemerkt in der gesamten Maya-Projektbibliothek eines Studios und in allen Maya-Dateien, die mit Mitarbeitern, Kunden oder externen Dienstleistern geteilt werden.

AV-Comparatives’ eigene forensische Analyse der infizierten Datei bestätigt dieses Verhalten direkt. Das Öffnen der Maya-Binärdatei in einem Hex-Editor am Offset 0x000AC680 zeigt den eingebetteten Python-Code im Klartext innerhalb der kompilierten Binärdatei an, einschließlich der charakteristischen Zeichenfolgen petri_schalen_gene, cmds.internalVar(userAppDir=True), userSetup.py, Importimpfstoff, Leukozyte = vaccine.phage(), leukozyt.besetzung(), und cmds.evalDeferred. Dies sind die exakten Funktionsaufrufe und Variablennamen, die den Selbstreplikations- und Persistenzmechanismus des Wurms implementieren. Sie sind ohne spezielles Tooling direkt in einer scheinbar gewöhnlichen 3D-Szenendatei sichtbar.

Was AV-Comparatives gefunden hat und was Epic Games bestätigt hat

Die Forscher von AV-Comparatives fanden mehrere Produktangebote auf Fab.com, die Maya-Binärdateien enthielten, die mit MEL/Vacphage.A, einschließlich der Angebote des Verkäufers “mr3dartist”:

• “Moderner Polstersessel”, veröffentlicht am 16. Juni 2025
  

  

• “Industrieller Edelstahl-Sauerstoffflaschenwagen”, veröffentlicht am 10. März 2025
  

  

Das Verkäuferprofil und das Upload-Muster deuten auf einen kleinen, unabhängigen Ersteller hin, der unwissentlich infizierte Szenedateien hochgeladen hat - eine Schlussfolgerung, die sich mit Epic Games’ eigener Untersuchung deckt.

In einer Erklärung, die AV-Comparatives zur Verfügung gestellt wurde, bestätigte Scott Miller, Senior Director of Information Security bei Epic Games, das Ausmaß des Problems: “Bei einer Sicherheitsüberprüfung der veröffentlichten Produkte haben wir festgestellt, dass die Assets auf Fab Maya-Dateien mit MEL/Vacphage.A enthielten. Bei unserer Analyse haben wir festgestellt, dass 39 Verkäufer die Dateien unwissentlich als Teil ihrer Produkte auf Fab hochgeladen haben, und es gab keine Kompromittierung der Systeme, Server oder Kundeninformationen von Epic.”

Wie Epic Games reagiert hat

Nachdem wir von einem Nutzer informiert wurden und unsere Untersuchung begonnen hatten, folgte AV-Comparatives während des gesamten Prozesses den Grundsätzen der verantwortungsvollen Offenlegung und kontaktierte Fab.com über LinkedIn (aufgrund des Fehlens sichtbarer Kontaktinformationen auf fab.com) am 7. Mai 2026 und reichte am 15. Mai 2026 eine formelle Offenlegung bei Epic Games ein. Obwohl es auf LinkedIn keine Antwort gab, bestätigte Epic Games den Erhalt und leitete noch am selben Tag eine formelle Antwort ein. Ihr schnelles und konstruktives Engagement bedeutete, dass konkrete Verbesserungen für die Nutzer des Fab-Stores weit innerhalb der üblichen 90-Tage-Frist für eine verantwortungsvolle Offenlegung erreicht wurden.

Laut der Erklärung von Scott Miller hat Epic Games nach der Entdeckung der infizierten Dateien die folgenden Schritte unternommen:

Die erste Maßnahme bestand darin, die betroffenen Käufer direkt zu kontaktieren und sie auf das kostenlose Bereinigungstool von Autodesk hinzuweisen. Die betroffenen Angebote wurden anschließend vom Marktplatz entfernt. Da Fab-Produkte neben Maya auch andere Dateiformate enthalten können, wurden die infizierten Dateien durch Platzhalter ersetzt, um die Unterbrechung für Künstler, die andere Formate verwenden, zu minimieren. Die Verkäufer wurden ebenfalls benachrichtigt und aufgefordert, ihre Produkte mit bereinigten Dateien neu zu veröffentlichen.

Epic Games gab an, dass Fab alle hochgeladenen Dateien mit Hilfe der branchenüblichen Malware-Erkennung auf Viren überprüft, dieser spezielle Virus jedoch nicht erkannt wurde, da er jede Datei auf einzigartige Weise betrifft. Ein neues Erkennungstool wurde entwickelt und am 26. Mai 2026 bereitgestellt, um diese infizierten Dateien in Zukunft zu erkennen.

Es ist erwähnenswert, dass die Screenshots von AV-Comparatives vom 15. Mai 2026 die Listen noch als aktiv und herunterladbar zeigten. Die Aufhebung der Veröffentlichung und die Ersetzung der Dateien fand also irgendwann zwischen diesem Datum und der Bereitstellung des neuen Scanning-Tools am 26. Mai 2026 statt. Die Warn-E-Mail, die den betroffenen Käufern zugesandt wurde, war auf den 1. Mai 2026 datiert, was bedeutet, dass die Käufer mehrere Wochen vor der vollständigen Entfernung der Angebote über das Problem informiert wurden. Wir sind der Meinung, dass die Formulierung etwas unglücklich gewählt war, denn in der Mail heißt es nur “Das ist ein Drehbuch, das Mayas Leistung stören kann.” ohne die Art des Wurmes zu erwähnen.

[Anmerkung des Herausgebers: In einer früheren Version dieses Artikels hieß es, dass Fab.com leider keinen Link zu den Autodesk Security Tools enthielt, was falsch war. Die Mail, die uns zu Beginn unserer Untersuchung zur Verfügung gestellt wurde, hatte den Link höchstwahrscheinlich bei der Konvertierung von HTML zu Text “verloren”. Wir danken Epic Games, dass sie uns korrigiert und uns einen Screenshot der ursprünglich verschickten E-Mail zur Verfügung gestellt haben (siehe oben). Wir möchten uns für jegliche Verwirrung entschuldigen].

Erkennungsraten: Warum Endpunktschutz auf kreativen Workstations wichtig ist

Das spezifische Muster aus den Fab.com-Listen ist seit April 2022 auf VirusTotal zu finden und wird derzeit von 30 von 61 Motoren, unter anderem Bitdefender, ESET, Gen Digital und Microsoft. ESET fügte im Januar 2021 erstmals eine Erkennung für das eingebettete Python-Skript hinzu.

Diese Zahl verdeutlicht etwas Wichtiges. Selbst eine bekannte Bedrohung, die seit Jahren im Umlauf ist, wird möglicherweise nicht von jedem Produkt erkannt, obwohl die allgemeine Abdeckung gut ist. Die Gründe dafür liegen in der Art und Weise, wie und in welchem Stadium ein Scan durchgeführt wird, und die Erkennung von Dateitypen, die nicht zur typischen Kategorie der ausführbaren Windows-Dateien gehören, kann zurückbleiben. Dies ist auch der Grund, warum unabhängige Tests wichtig sind und warum sich die Produktauswahl auf der Grundlage von verifizierten Testergebnissen lohnt.

Viele Kreative verzichten auf die Installation von Cybersicherheitslösungen aus Angst vor Ressourcenverlusten, aber das Leistungsargument gegen die Installation von Sicherheitssoftware auf einer kreativen Workstation hält einer Überprüfung nicht mehr stand. Die AV-Comparatives Leistungstest (April 2026) zeigt, dass die heute am besten bewerteten Sicherheitsprodukte nur minimale messbare Auswirkungen auf alltägliche Aufgaben wie Dateioperationen, Anwendungsstartzeiten und Rendering-Workflows haben. Die Tools zur Erkennung von Bedrohungen wie MEL/Vacphage.A sind die gleichen, die bei der Leistung gut abschneiden. Ein sinnvoller Kompromiss ist nicht möglich.

Eine umfassendere Lektion für alle

Der Vorfall bei Fab.com ist nicht nur auf einen Marktplatz oder ein Dateiformat beschränkt. Er spiegelt eine breitere Herausforderung wider, die jede Plattform betrifft, auf der nutzergenerierte Inhalte in großem Umfang geteilt und verbreitet werden.

Malware, die in kreative Dateiformate eingebettet ist, einschließlich 3D-Szenendateien, Skripte, Plugins und Vorlagen, stellt eine wachsende Angriffsfläche dar, die von Standard-Endpunkt-Scans nicht immer so gründlich erfasst wird wie ausführbare Dateien. Künstler, Designer, Animatoren und Entwickler laden im Rahmen ihres normalen Arbeitsablaufs häufig Dutzende von Assets aus verschiedenen Quellen herunter. Die Annahme, dass eine vertrauenswürdige Plattform gleichbedeutend mit einer sicheren Datei ist, wird durch diesen Vorfall direkt in Frage gestellt.

Wer ist gefährdet?

Jeder Entwickler oder Künstler, der:

• Benutzt Autodesk Maya und hat vor dem 26. Mai 2026 Assets von Fab.com heruntergeladen
• Hat erhalten .ma oder .mb Dateien von Mitarbeitern
• Arbeitet in einer gemeinsamen Studioumgebung, in der Maya-Projektdateien zwischen verschiedenen Rechnern ausgetauscht werden

...sollten ihre Maya-Installation bis zur Überprüfung als potenziell gefährdet betrachten.

Da sich der Wurm selbst verbreitet, kann ein einziger infizierter Download die Maya-Dateien einer ganzen Projektbibliothek kontaminieren und sich auf jeden verbreiten, der die Dateien anschließend weitergibt. In einer Studioumgebung kann die Angriffsfläche schnell und unbemerkt wachsen.

Was betroffene Benutzer tun sollten

1. Führen Sie die offiziellen Sicherheitstools von Autodesk für Maya aus. Autodesk hat ein spezielles Bereinigungstool veröffentlicht, das auf der Autodesk App Store. Es erkennt und entfernt die ScriptNode ausnutzen, impfstoff.py, und die damit verbundenen Änderungen an userSetup.py. Autodesk empfiehlt dringend, dieses Tool als dauerhaften Schutz zu installieren, nicht nur als einmalige Bereinigungsmaßnahme.
2. Scannen Sie mit einem seriösen Endpunkt-Sicherheitsprodukt. Moderne Sicherheitssoftware erkennt MEL/Vacphage.A und verwandte Varianten. Benutzer, die sich über die Auswirkungen auf die Leistung Sorgen machen, sollten sich an die AV-Comparatives Leistungstest (April 2026)
3. Prüfung der freigegebenen und empfangenen Dateien. Jede .mb oder .ma Dateien, die Sie von Dritten erhalten, von Fab.com heruntergeladen oder innerhalb eines Teams weitergegeben haben, sollten bis zur Überprüfung als verdächtig betrachtet werden. Öffnen Sie ungeprüfte Maya-Dateien nicht auf einem sauberen Rechner, bevor Sie sie gescannt haben.
4. Siehe userSetup.py und Ihren Maya-Skriptordner. Suchen Sie nach unerwarteten Einträgen in userSetup.py (typischerweise Dokumente/maya//scripts/) und für das Vorhandensein von impfstoff.py in demselben Ordner. Ihr Vorhandensein ist ein zuverlässiger Indikator für eine Infektion.

Zusammenfassung

• Fab.com hosted Maya Binäre Dateien infiziert mit MEL/Vacphage.A bei 39 bekannten Verkäufern. Die Verkäufer selbst haben die infizierten Dateien unwissentlich hochgeladen. Es wurden keine Epic-Systeme oder Kundendaten kompromittiert.
• Der Wurm überschreibt Maya-Startskripte und bettet sich in jede Maya-Projektdatei ein, die auf einem infizierten Computer geöffnet wird, und verbreitet sich unbemerkt an Mitarbeiter, die diese Dateien später öffnen.
• Mehrere Sicherheitsanbieter haben diese Bedrohung seit 2021 unabhängig voneinander eingestuft. 30 von 61 Engines auf VirusTotal kennzeichnen derzeit das bestätigte Muster, das erstmals im April 2022 eingereicht wurde.
• AV-Comparatives befolgte die Grundsätze der verantwortungsvollen Offenlegung und informierte Epic Games am 15. Mai 2026. Epic Games reagierte umgehend: Betroffene Käufer wurden benachrichtigt, Angebote wurden nicht mehr veröffentlicht und ein neues Erkennungstool wurde am 26. Mai 2026 bereitgestellt, also noch innerhalb des üblichen 90-Tage-Fensters für die Offenlegung.
• Der Vorfall zeigt, dass vertrauenswürdige Plattformen nicht immun gegen Malware in kreativen Dateiformaten sind und dass Endpunktsicherheit auf kreativen Workstations nicht optional ist, sondern dass auch die Händler einen Teil der Verantwortung tragen.
• Betroffene Benutzer sollten die Autodesk Security Tools für Maya ausführen und mit einem aktuellen Sicherheitsprodukt scannen.

Thomas Uhlemann, Evangelist für Cybersicherheit