একজন ব্যবহারকারী NAS-এ স্ট্যান্ডার্ড *arr মিডিয়া স্ট্যাক চালান। তিনি লক্ষ্য করলেন Sonarr পাবলিক টরেন্ট ট্র্যাকার থেকে একটি নকল সাউথ পার্ক পর্ব নামিয়ে এনেছে। ফাইলটি মোটেও ভিডিও ছিল না, বরং 2,392 জন সিডারসহ একটি Windows এক্সিকিউটেবল, এবং প্রতি 90 সেকেন্ডে এটির ইমপোর্ট ব্যর্থ হচ্ছিল। Bittorrent ডাউনলোডটিকে সম্পন্ন বলে চিহ্নিত করেছিল, অথচ ডিস্কে আসলে শূন্য বাইট লেখা হয়েছিল, যার ব্যাখ্যা ব্যবহারকারী পাননি।
ব্যবহারকারী রিলিজটিকে ব্লকলিস্টে রাখেন এবং তারপর ইচ্ছাকৃতভাবে আবার ডাউনলোড করেন, যাতে জানা যায় এতে কী আছে। আসল প্রোগ্রামটি মাত্র 118 KB ছিল; বাকি 886 MB ছিল স্ক্যানারকে ফাঁকি দিতে শেষে যোগ করা অর্থহীন ডেটা। কোডের উপর ভারী XOR-ভিত্তিক অবফাসকেশন চাপানো ছিল, যাতে ডিকম্পাইলারের আউটপুট পড়া অসম্ভব হয়। সেটি সরানোর পর যুক্তিটি ছয় ধাপের হয়ে দাঁড়ায়: ফাইলের শেষ 64 বাইট থেকে কনফিগারেশন পড়া, ChaCha20 দিয়ে একটি লুকানো পেলোড ডিক্রিপ্ট করা, ডিস্ক না ছুঁয়ে সেটি মেমোরিতে ম্যাপ করা এবং তারপর সেখানে ঝাঁপ দেওয়া।
এম্বেড করা পেলোডে অ্যান্টি-ডিবাগিং ও অ্যান্টি-স্যান্ডবক্স পরীক্ষা ছিল, এবং এর স্ট্রিংগুলোতে স্তরভিত্তিক এনক্রিপশন ব্যবহৃত হয়েছিল। ব্যবহারকারী 672টি এনক্রিপ্টেড স্ট্রিংয়ের মধ্যে 601টি ডিক্রিপ্ট করেন। ডিক্রিপ্ট করা তালিকায় ব্রাউজার, ক্রিপ্টো ওয়ালেট, পাসওয়ার্ড ম্যানেজার ও অ্যাকাউন্ট স্টোরকে লক্ষ্য হিসেবে উল্লেখ করা হয়েছে, যা ক্রেডেনশিয়াল ও ওয়ালেট চুরির ইঙ্গিত দেয়।
এই ঘটনা দেখায় কীভাবে মিডিয়ার ছদ্মবেশে থাকা ম্যালওয়্যার সাইজ প্যাডিং, রানটাইম রেজোলিউশন ও ইন-মেমোরি এক্সিকিউশনের মাধ্যমে শনাক্তকরণ এড়াতে পারে। ব্যবহারকারীদের ভিডিও রিলিজের ছদ্মবেশী এক্সিকিউটেবল সম্পর্কে সতর্ক থাকার পরামর্শ দেওয়া হচ্ছে।
উৎস: Hacker News · সারাংশ: HeadlinesBriefing