NAS上で標準的な*arrメディアスタックを運用しているユーザーが、Sonarrが公開トレントトラッカーから偽の南方公園エピソードを取得したことに気づきました。ファイルは動画ではなく、2,392人のシーダーを持つWindows実行ファイルで、90秒ごとにインポートに失敗し続けていました。Bittorrentはダウンロードを完了と表示しましたが、実際にはディスクへ1バイトも書き込まれておらず、ユーザーにはその理由がわかりませんでした。
ユーザーはこのリリースをブロックリストに登録したうえで、中身を確かめるために意図的に再ダウンロードしました。本体のプログラムはわずか118 KBで、残りの886 MBはスキャナーを回避するために末尾に追加されたジャンクデータでした。コードにはXORベースの難読化が幾重にも施されており、逆コンパイラの出力は読めない状態でした。これを取り除くと、ロジックは6つの手順に集約されました。ファイル末尾の64バイトから設定を読み取り、ChaCha20で隠されたペイロードを復号し、ディスクに触れずにメモリへマッピングして、そこへジャンプします。
埋め込まれたペイロードにはデバッグ対策とサンドボックス対策のチェックがあり、文字列も多層的に暗号化されていました。ユーザーは672個の暗号化文字列のうち601個を復号しました。復号されたリストには、ブラウザ、暗号資産ウォレット、パスワードマネージャー、アカウント保存領域が標的として挙げられており、認証情報とウォレットの窃取を目的としていたことがうかがえます。
この事例は、メディアを装ったマルウェアがサイズの水増し、実行時の名前解決、メモリ内実行によって検出を逃れうることを示しています。ユーザーは、動画リリースを装った実行ファイルに注意するよう勧められています。
出典: Hacker News · 要約：HeadlinesBriefing