Пользователь, который запускает стандартный стек *arr на NAS, заметил, что Sonarr скачал поддельный эпизод South Park с публичных торрент-трекеров. Файл оказался не видео, а исполняемым файлом Windows с 2 392 сидерами, и его импорт каждые 90 секунд завершался ошибкой. Bittorrent пометил загрузку как завершённую, хотя на диск не было записано ни одного байта, и пользователь не смог этого объяснить.
Пользователь занёс релиз в чёрный список, а затем намеренно скачал его снова, чтобы выяснить, что внутри. Настоящая программа весила всего 118 КБ; остальные 886 МБ были мусором, дописанным в конец, чтобы обойти сканеры. Поверх кода был наложен тяжёлый обфускационный слой на основе XOR, делающий вывод декомпилятора нечитаемым. После его удаления логика сводилась к шести шагам: прочитать конфигурацию из последних 64 байт файла, расшифровать скрытую полезную нагрузку с помощью ChaCha20, отобразить её в память без обращения к диску и передать ей управление.
Встроенная полезная нагрузка содержала проверки против отладки и песочниц, а её строки шифровались в несколько слоёв. Пользователь расшифровал 601 из 672 зашифрованных строк. Расшифрованный список называл целями браузеры, криптокошельки, менеджеры паролей и хранилища учётных записей, что указывает на кражу учётных данных и кошельков.
Этот случай показывает, как вредоносное ПО, замаскированное под медиафайл, может уходить от обнаружения с помощью дополнения размера, разрешения символов во время выполнения и исполнения в памяти. Пользователям рекомендуется с осторожностью относиться к исполняемым файлам, выдающим себя за видеорелизы.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing