Un utilisateur qui fait tourner une pile *arr standard sur un NAS a remarqué que Sonarr avait récupéré un faux épisode de South Park sur des trackers torrent publics. Le fichier n'était pas une vidéo mais un exécutable Windows, avec 2 392 seeders, et son import échouait toutes les 90 secondes. Bittorrent a marqué le téléchargement comme terminé alors qu'aucun octet n'avait réellement été écrit sur le disque, ce que l'utilisateur n'a pas pu expliquer.
L'utilisateur a placé la version sur liste noire, puis l'a volontairement retéléchargée pour savoir ce qu'elle contenait. Le vrai programme ne faisait que 118 Ko ; les 886 Mo restants étaient des données parasites ajoutées à la fin pour tromper les antivirus. Une obfuscation lourde basée sur des XOR recouvrait le code afin de rendre la sortie du décompilateur illisible. Une fois débarrassée de cette couche, la logique tenait en six étapes : lire une configuration dans les 64 derniers octets du fichier, déchiffrer une charge utile cachée avec ChaCha20, la mapper en mémoire sans toucher au disque, puis y sauter.
La charge utile intégrée comportait des contrôles anti-débogage et anti-bac à sable, et ses chaînes de caractères étaient chiffrées en plusieurs couches. L'utilisateur en a déchiffré 601 sur 672. La liste obtenue désignait comme cibles les navigateurs, les portefeuilles de cryptomonnaies, les gestionnaires de mots de passe et les magasins de comptes, ce qui indique un vol d'identifiants et de portefeuilles.
Ce cas montre comment un malware déguisé en média peut échapper à la détection grâce au remplissage de taille, à la résolution à l'exécution et à l'exécution en mémoire. Il est conseillé de se méfier des exécutables qui se font passer pour des vidéos.
Source: Hacker News · Résumé par HeadlinesBriefing