لاحظ مستخدم يشغّل حزمة *arr الإعلامية القياسية على جهاز NAS أن Sonarr حمّل حلقة مزيفة من South Park من أجهزة تتبع تورنت عامة. لم يكن الملف فيديو على الإطلاق، بل ملفًا تنفيذيًا لنظام Windows له 2,392 من المشاركين في الرفع، وظل يفشل في الاستيراد كل 90 ثانية. وضع Bittorrent علامة "مكتمل" على التنزيل مع عدم كتابة أي بايت فعلي على القرص، وهو أمر لم يستطع المستخدم تفسيره.
أضاف المستخدم الإصدار إلى القائمة السوداء ثم أعاد تنزيله عمدًا ليعرف ما يحتويه. كان البرنامج الحقيقي 118 كيلوبايت فقط، أما الـ 886 ميجابايت المتبقية فكانت حشوًا مُلحقًا في نهاية الملف للتهرب من الماسحات. طُبّق فوق الشيفرة تشويش ثقيل قائم على XOR لجعل مخرجات أداة فك التجميع غير مقروءة. وبعد إزالته، تبيّن أن المنطق يتكون من ستة خطوات: قراءة الإعدادات من آخر 64 بايتًا في الملف، وفك تشفير حمولة مخفية باستخدام ChaCha20، ثم تحميلها في الذاكرة دون لمس القرص، والقفز إلى تنفيذها.
تضمنت الحمولة المدمجة فحوصات لمنع التصحيح ومنع التشغيل داخل بيئات الاختبار المعزولة (sandbox)، واستخدمت تشفيرًا متعدد الطبقات لنصوصها. فك المستخدم 601 من أصل 672 نصًا مشفرًا. وأشارت القائمة المفكوكة إلى أن الأهداف تشمل المتصفحات ومحافظ العملات المشفرة ومديري كلمات المرور ومخازن الحسابات، ما يدل على سرقة بيانات الاعتماد والمحافظ.
توضح هذه الحالة كيف يمكن للبرمجيات الخبيثة المتنكرة في هيئة وسائط أن تتجنب الاكتشاف عبر الحشو الحجمي والتحليل وقت التشغيل والتنفيذ داخل الذاكرة. وينصح المستخدمون بالحذر من الملفات التنفيذية المتنكرة في هيئة إصدارات فيديو.
المصدر: Hacker News · لخّصه HeadlinesBriefing