Ein Nutzer, der einen Standard-*arr-Medienstack auf einem NAS betreibt, bemerkte, dass Sonarr eine gefälschte South-Park-Folge von öffentlichen Torrent-Trackern geladen hatte. Die Datei war kein Video, sondern eine Windows-Programmdatei mit 2.392 Seedern, und ihr Import schlug alle 90 Sekunden erneut fehl. Bittorrent meldete den Download als abgeschlossen, obwohl kein einziges Byte auf die Festplatte geschrieben worden war – der Nutzer konnte sich das nicht erklären.
Der Nutzer setzte die Version auf die Blockliste und lud sie anschließend absichtlich erneut herunter, um herauszufinden, was darin steckt. Das eigentliche Programm war nur 118 KB groß; die übrigen 886 MB bestanden aus Datenmüll, der angehängt worden war, um Scanner zu täuschen. Über den Code war eine starke XOR-basierte Verschleierung gelegt, die die Ausgabe des Decompilers unlesbar machte. Nach deren Entfernung blieb eine Logik aus sechs Schritten: Konfiguration aus den letzten 64 Bytes der Datei lesen, eine versteckte Nutzlast mit ChaCha20 entschlüsseln, sie ohne Zugriff auf die Festplatte in den Speicher abbilden und dorthin springen.
Die eingebettete Nutzlast enthielt Prüfungen gegen Debugging und Sandboxes, und ihre Zeichenketten waren mehrschichtig verschlüsselt. Der Nutzer entschlüsselte 601 von 672 verschlüsselten Zeichenketten. Die entschlüsselte Liste nannte Browser, Krypto-Wallets, Passwortmanager und Kontospeicher als Ziele, was auf den Diebstahl von Zugangsdaten und Wallets hindeutet.
Der Fall zeigt, wie als Medium getarnte Malware durch Größenauffüllung, Auflösung zur Laufzeit und Ausführung im Speicher der Erkennung entgehen kann. Nutzern wird geraten, misstrauisch gegenüber Programmdateien zu sein, die sich als Videoveröffentlichungen ausgeben.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing