Um usuário que roda uma pilha *arr padrão em um NAS percebeu que o Sonarr havia baixado um episódio falso de South Park de trackers públicos de torrent. O arquivo não era um vídeo, mas um executável do Windows com 2.392 seeders, e continuava falhando ao importar a cada 90 segundos. O Bittorrent marcou o download como concluído sem que nenhum byte tivesse sido gravado no disco, o que o usuário não conseguiu explicar.
O usuário colocou a versão na lista de bloqueio e depois a baixou novamente de propósito para descobrir o que ela continha. O programa real tinha apenas 118 KB; os 886 MB restantes eram lixo anexado ao final para enganar os antivírus. Uma ofuscação pesada baseada em XOR foi sobreposta ao código para tornar a saída do descompilador ilegível. Retirada essa camada, a lógica resumia-se a seis etapas: ler uma configuração dos últimos 64 bytes do arquivo, descriptografar um payload oculto usando ChaCha20, mapeá-lo na memória sem tocar no disco e saltar para ele.
O payload embutido incluía verificações contra depuração e contra sandbox, e usava criptografia em camadas em suas strings. O usuário descriptografou 601 das 672 strings criptografadas. A lista revelada apontava navegadores, carteiras de criptomoedas, gerenciadores de senhas e armazenamentos de contas como alvos, indicando roubo de credenciais e carteiras.
O caso mostra como malwares disfarçados de mídia podem escapar da detecção por meio de preenchimento de tamanho, resolução em tempo de execução e execução em memória. Recomenda-se desconfiar de executáveis que se passam por lançamentos de vídeo.
Fonte: Hacker News · Resumido por HeadlinesBriefing