Seorang pengguna yang menjalankan tumpukan media *arr standar di NAS menyadari bahwa Sonarr telah mengambil episode South Park palsu dari pelacak torrent publik. File tersebut bukan video, melainkan file eksekusi Windows dengan 2.392 seeder, dan terus gagal diimpor setiap 90 detik. Bittorrent menandai unduhan sebagai selesai padahal tidak ada satu byte pun yang benar-benar tertulis ke disk, dan pengguna tidak dapat menjelaskan hal ini.
Pengguna memasukkan rilis tersebut ke daftar blokir lalu sengaja mengunduhnya lagi untuk mengetahui isinya. Program aslinya hanya 118 KB; 886 MB sisanya adalah data sampah yang ditambahkan di bagian akhir untuk mengelabui pemindai. Obfuskasi berat berbasis XOR dilapiskan pada kode untuk membuat keluaran dekompiler tidak dapat dibaca. Setelah lapisan itu dihapus, logikanya hanya terdiri dari enam langkah: membaca konfigurasi dari 64 byte terakhir file, mendekripsi muatan tersembunyi menggunakan ChaCha20, memetakannya ke memori tanpa menyentuh disk, lalu melompat ke dalamnya.
Muatan yang tertanam memuat pemeriksaan anti-debugging dan anti-sandbox, serta menggunakan enkripsi berlapis pada string-nya. Pengguna berhasil mendekripsi 601 dari 672 string terenkripsi. Daftar hasil dekripsi menyebut peramban, dompet kripto, pengelola kata sandi, dan penyimpanan akun sebagai target, yang mengindikasikan pencurian kredensial dan dompet.
Kasus ini menunjukkan bagaimana malware yang menyamar sebagai media dapat lolos deteksi melalui penambahan ukuran, resolusi saat runtime, dan eksekusi di dalam memori. Pengguna disarankan untuk waspada terhadap file eksekusi yang menyamar sebagai rilis video.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing