एक उपयोगकर्ता जो NAS पर मानक *arr मीडिया स्टैक चलाता है, ने देखा कि Sonarr ने सार्वजनिक टोरेंट ट्रैकर्स से एक नकली साउथ पार्क एपिसोड डाउनलोड कर लिया था। फ़ाइल कोई वीडियो नहीं थी, बल्कि 2,392 सीडर्स वाली एक Windows एक्जीक्यूटेबल थी, और हर 90 सेकंड में उसका इंपोर्ट विफल हो रहा था। Bittorrent ने डाउनलोड को पूरा बताया, लेकिन डिस्क पर वास्तव में शून्य बाइट लिखे गए थे, जिसका उपयोगकर्ता कारण नहीं समझ पाया।
उपयोगकर्ता ने इस रिलीज़ को ब्लॉकलिस्ट में डाल दिया और फिर जानबूझकर इसे दोबारा डाउनलोड किया ताकि पता चले कि इसमें क्या है। असली प्रोग्राम केवल 118 KB का था; बाकी 886 MB स्कैनर्स को चकमा देने के लिए अंत में जोड़ा गया कचरा था। कोड पर भारी XOR-आधारित obfuscation लगाया गया था ताकि डीकंपाइलर का आउटपुट पढ़ा न जा सके। इसे हटाने के बाद तर्क छह चरणों का निकला: फ़ाइल के अंतिम 64 बाइट्स से कॉन्फ़िगरेशन पढ़ना, ChaCha20 से एक छिपा पेलोड डिक्रिप्ट करना, डिस्क छुए बिना उसे मेमोरी में मैप करना, और फिर उसमें कूद जाना।
एम्बेडेड पेलोड में एंटी-डिबगिंग और एंटी-सैंडबॉक्स जाँचें थीं, और उसकी स्ट्रिंग्स पर परतदार एन्क्रिप्शन था। उपयोगकर्ता ने 672 एन्क्रिप्टेड स्ट्रिंग्स में से 601 डिक्रिप्ट कीं। डिक्रिप्ट की गई सूची में ब्राउज़र, क्रिप्टो वॉलेट, पासवर्ड मैनेजर और अकाउंट स्टोर लक्ष्य के रूप में दर्ज थे, जो क्रेडेंशियल और वॉलेट की चोरी का संकेत देते हैं।
यह मामला दिखाता है कि मीडिया के रूप में छिपा मैलवेयर साइज़ पैडिंग, रनटाइम रिज़ॉल्यूशन और इन-मेमोरी निष्पादन के ज़रिए पहचान से कैसे बच सकता है। उपयोगकर्ताओं को वीडियो रिलीज़ का भेष धरने वाले एक्जीक्यूटेबल्स से सावधान रहने की सलाह दी गई है।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित