Someone on Torrent Sites Kept Fucking with My Sonarr

A user running a standard *arr media stack on a NAS noticed that Sonarr had grabbed a fake South Park episode from public torrent trackers. The file was not a video at all but a Windows executable with 2,392 seeders, and it kept failing to import every 90 seconds. Bittorrent marked the download as finished with zero bytes actually written to disk, which the user could not explain.

The user blocklisted the release and then downloaded it again on purpose to find out what it contained. The real program was only 118 KB; the remaining 886 MB was junk appended to the end to defeat scanners. Heavy XOR-based obfuscation was layered over the code to make decompiler output unreadable. Once stripped, the logic was six steps: read a configuration from the file's final 64 bytes, decrypt a hidden payload using ChaCha20, map it into memory without touching disk, and jump into it.

The embedded payload included anti-debugging and anti-sandbox checks, and it used layered encryption on its strings. The user decrypted 601 of 672 encrypted strings. The decrypted list named browsers, crypto wallets, password managers and account stores as targets, indicating credential and wallet theft.

The case shows how malware disguised as media can avoid detection through size padding, runtime resolution and in-memory execution. Users are advised to be wary of executables masquerading as video releases.

لاحظ مستخدم يشغّل حزمة *arr الإعلامية القياسية على جهاز NAS أن Sonarr حمّل حلقة مزيفة من South Park من أجهزة تتبع تورنت عامة. لم يكن الملف فيديو على الإطلاق، بل ملفًا تنفيذيًا لنظام Windows له 2,392 من المشاركين في الرفع، وظل يفشل في الاستيراد كل 90 ثانية. وضع Bittorrent علامة "مكتمل" على التنزيل مع عدم كتابة أي بايت فعلي على القرص، وهو أمر لم يستطع المستخدم تفسيره.

أضاف المستخدم الإصدار إلى القائمة السوداء ثم أعاد تنزيله عمدًا ليعرف ما يحتويه. كان البرنامج الحقيقي 118 كيلوبايت فقط، أما الـ 886 ميجابايت المتبقية فكانت حشوًا مُلحقًا في نهاية الملف للتهرب من الماسحات. طُبّق فوق الشيفرة تشويش ثقيل قائم على XOR لجعل مخرجات أداة فك التجميع غير مقروءة. وبعد إزالته، تبيّن أن المنطق يتكون من ستة خطوات: قراءة الإعدادات من آخر 64 بايتًا في الملف، وفك تشفير حمولة مخفية باستخدام ChaCha20، ثم تحميلها في الذاكرة دون لمس القرص، والقفز إلى تنفيذها.

تضمنت الحمولة المدمجة فحوصات لمنع التصحيح ومنع التشغيل داخل بيئات الاختبار المعزولة (sandbox)، واستخدمت تشفيرًا متعدد الطبقات لنصوصها. فك المستخدم 601 من أصل 672 نصًا مشفرًا. وأشارت القائمة المفكوكة إلى أن الأهداف تشمل المتصفحات ومحافظ العملات المشفرة ومديري كلمات المرور ومخازن الحسابات، ما يدل على سرقة بيانات الاعتماد والمحافظ.

توضح هذه الحالة كيف يمكن للبرمجيات الخبيثة المتنكرة في هيئة وسائط أن تتجنب الاكتشاف عبر الحشو الحجمي والتحليل وقت التشغيل والتنفيذ داخل الذاكرة. وينصح المستخدمون بالحذر من الملفات التنفيذية المتنكرة في هيئة إصدارات فيديو.

একজন ব্যবহারকারী NAS-এ স্ট্যান্ডার্ড *arr মিডিয়া স্ট্যাক চালান। তিনি লক্ষ্য করলেন Sonarr পাবলিক টরেন্ট ট্র্যাকার থেকে একটি নকল সাউথ পার্ক পর্ব নামিয়ে এনেছে। ফাইলটি মোটেও ভিডিও ছিল না, বরং 2,392 জন সিডারসহ একটি Windows এক্সিকিউটেবল, এবং প্রতি 90 সেকেন্ডে এটির ইমপোর্ট ব্যর্থ হচ্ছিল। Bittorrent ডাউনলোডটিকে সম্পন্ন বলে চিহ্নিত করেছিল, অথচ ডিস্কে আসলে শূন্য বাইট লেখা হয়েছিল, যার ব্যাখ্যা ব্যবহারকারী পাননি।

ব্যবহারকারী রিলিজটিকে ব্লকলিস্টে রাখেন এবং তারপর ইচ্ছাকৃতভাবে আবার ডাউনলোড করেন, যাতে জানা যায় এতে কী আছে। আসল প্রোগ্রামটি মাত্র 118 KB ছিল; বাকি 886 MB ছিল স্ক্যানারকে ফাঁকি দিতে শেষে যোগ করা অর্থহীন ডেটা। কোডের উপর ভারী XOR-ভিত্তিক অবফাসকেশন চাপানো ছিল, যাতে ডিকম্পাইলারের আউটপুট পড়া অসম্ভব হয়। সেটি সরানোর পর যুক্তিটি ছয় ধাপের হয়ে দাঁড়ায়: ফাইলের শেষ 64 বাইট থেকে কনফিগারেশন পড়া, ChaCha20 দিয়ে একটি লুকানো পেলোড ডিক্রিপ্ট করা, ডিস্ক না ছুঁয়ে সেটি মেমোরিতে ম্যাপ করা এবং তারপর সেখানে ঝাঁপ দেওয়া।

এম্বেড করা পেলোডে অ্যান্টি-ডিবাগিং ও অ্যান্টি-স্যান্ডবক্স পরীক্ষা ছিল, এবং এর স্ট্রিংগুলোতে স্তরভিত্তিক এনক্রিপশন ব্যবহৃত হয়েছিল। ব্যবহারকারী 672টি এনক্রিপ্টেড স্ট্রিংয়ের মধ্যে 601টি ডিক্রিপ্ট করেন। ডিক্রিপ্ট করা তালিকায় ব্রাউজার, ক্রিপ্টো ওয়ালেট, পাসওয়ার্ড ম্যানেজার ও অ্যাকাউন্ট স্টোরকে লক্ষ্য হিসেবে উল্লেখ করা হয়েছে, যা ক্রেডেনশিয়াল ও ওয়ালেট চুরির ইঙ্গিত দেয়।

এই ঘটনা দেখায় কীভাবে মিডিয়ার ছদ্মবেশে থাকা ম্যালওয়্যার সাইজ প্যাডিং, রানটাইম রেজোলিউশন ও ইন-মেমোরি এক্সিকিউশনের মাধ্যমে শনাক্তকরণ এড়াতে পারে। ব্যবহারকারীদের ভিডিও রিলিজের ছদ্মবেশী এক্সিকিউটেবল সম্পর্কে সতর্ক থাকার পরামর্শ দেওয়া হচ্ছে।

Ein Nutzer, der einen Standard-*arr-Medienstack auf einem NAS betreibt, bemerkte, dass Sonarr eine gefälschte South-Park-Folge von öffentlichen Torrent-Trackern geladen hatte. Die Datei war kein Video, sondern eine Windows-Programmdatei mit 2.392 Seedern, und ihr Import schlug alle 90 Sekunden erneut fehl. Bittorrent meldete den Download als abgeschlossen, obwohl kein einziges Byte auf die Festplatte geschrieben worden war – der Nutzer konnte sich das nicht erklären.

Der Nutzer setzte die Version auf die Blockliste und lud sie anschließend absichtlich erneut herunter, um herauszufinden, was darin steckt. Das eigentliche Programm war nur 118 KB groß; die übrigen 886 MB bestanden aus Datenmüll, der angehängt worden war, um Scanner zu täuschen. Über den Code war eine starke XOR-basierte Verschleierung gelegt, die die Ausgabe des Decompilers unlesbar machte. Nach deren Entfernung blieb eine Logik aus sechs Schritten: Konfiguration aus den letzten 64 Bytes der Datei lesen, eine versteckte Nutzlast mit ChaCha20 entschlüsseln, sie ohne Zugriff auf die Festplatte in den Speicher abbilden und dorthin springen.

Die eingebettete Nutzlast enthielt Prüfungen gegen Debugging und Sandboxes, und ihre Zeichenketten waren mehrschichtig verschlüsselt. Der Nutzer entschlüsselte 601 von 672 verschlüsselten Zeichenketten. Die entschlüsselte Liste nannte Browser, Krypto-Wallets, Passwortmanager und Kontospeicher als Ziele, was auf den Diebstahl von Zugangsdaten und Wallets hindeutet.

Der Fall zeigt, wie als Medium getarnte Malware durch Größenauffüllung, Auflösung zur Laufzeit und Ausführung im Speicher der Erkennung entgehen kann. Nutzern wird geraten, misstrauisch gegenüber Programmdateien zu sein, die sich als Videoveröffentlichungen ausgeben.

Un usuario que ejecuta una pila estándar de *arr en un NAS notó que Sonarr había descargado un falso episodio de South Park desde rastreadores públicos de torrents. El archivo no era un vídeo sino un ejecutable de Windows con 2.392 seeders, y seguía fallando al importarse cada 90 segundos. Bittorrent marcó la descarga como terminada sin que se escribiera ningún byte en el disco, algo que el usuario no pudo explicar.

El usuario añadió la versión a la lista de bloqueo y luego la descargó de nuevo a propósito para averiguar qué contenía. El programa real ocupaba solo 118 KB; los 886 MB restantes eran basura añadida al final para eludir los escáneres. Sobre el código se superpuso una ofuscación intensa basada en XOR para que la salida del descompilador fuera ilegible. Una vez eliminada, la lógica constaba de seis pasos: leer una configuración de los últimos 64 bytes del archivo, descifrar una carga oculta mediante ChaCha20, mapearla en memoria sin tocar el disco y saltar a ella.

La carga incrustada incluía comprobaciones antidepuración y antisandbox, y usaba cifrado en capas para sus cadenas. El usuario descifró 601 de las 672 cadenas cifradas. La lista descifrada señalaba como objetivos navegadores, billeteras de criptomonedas, gestores de contraseñas y almacenes de cuentas, lo que indica robo de credenciales y de billeteras.

El caso muestra cómo el malware disfrazado de contenido multimedia puede eludir la detección mediante relleno de tamaño, resolución en tiempo de ejecución y ejecución en memoria. Se recomienda desconfiar de los ejecutables que se hacen pasar por vídeos.

Un utilisateur qui fait tourner une pile *arr standard sur un NAS a remarqué que Sonarr avait récupéré un faux épisode de South Park sur des trackers torrent publics. Le fichier n'était pas une vidéo mais un exécutable Windows, avec 2 392 seeders, et son import échouait toutes les 90 secondes. Bittorrent a marqué le téléchargement comme terminé alors qu'aucun octet n'avait réellement été écrit sur le disque, ce que l'utilisateur n'a pas pu expliquer.

L'utilisateur a placé la version sur liste noire, puis l'a volontairement retéléchargée pour savoir ce qu'elle contenait. Le vrai programme ne faisait que 118 Ko ; les 886 Mo restants étaient des données parasites ajoutées à la fin pour tromper les antivirus. Une obfuscation lourde basée sur des XOR recouvrait le code afin de rendre la sortie du décompilateur illisible. Une fois débarrassée de cette couche, la logique tenait en six étapes : lire une configuration dans les 64 derniers octets du fichier, déchiffrer une charge utile cachée avec ChaCha20, la mapper en mémoire sans toucher au disque, puis y sauter.

La charge utile intégrée comportait des contrôles anti-débogage et anti-bac à sable, et ses chaînes de caractères étaient chiffrées en plusieurs couches. L'utilisateur en a déchiffré 601 sur 672. La liste obtenue désignait comme cibles les navigateurs, les portefeuilles de cryptomonnaies, les gestionnaires de mots de passe et les magasins de comptes, ce qui indique un vol d'identifiants et de portefeuilles.

Ce cas montre comment un malware déguisé en média peut échapper à la détection grâce au remplissage de taille, à la résolution à l'exécution et à l'exécution en mémoire. Il est conseillé de se méfier des exécutables qui se font passer pour des vidéos.

एक उपयोगकर्ता जो NAS पर मानक *arr मीडिया स्टैक चलाता है, ने देखा कि Sonarr ने सार्वजनिक टोरेंट ट्रैकर्स से एक नकली साउथ पार्क एपिसोड डाउनलोड कर लिया था। फ़ाइल कोई वीडियो नहीं थी, बल्कि 2,392 सीडर्स वाली एक Windows एक्जीक्यूटेबल थी, और हर 90 सेकंड में उसका इंपोर्ट विफल हो रहा था। Bittorrent ने डाउनलोड को पूरा बताया, लेकिन डिस्क पर वास्तव में शून्य बाइट लिखे गए थे, जिसका उपयोगकर्ता कारण नहीं समझ पाया।

उपयोगकर्ता ने इस रिलीज़ को ब्लॉकलिस्ट में डाल दिया और फिर जानबूझकर इसे दोबारा डाउनलोड किया ताकि पता चले कि इसमें क्या है। असली प्रोग्राम केवल 118 KB का था; बाकी 886 MB स्कैनर्स को चकमा देने के लिए अंत में जोड़ा गया कचरा था। कोड पर भारी XOR-आधारित obfuscation लगाया गया था ताकि डीकंपाइलर का आउटपुट पढ़ा न जा सके। इसे हटाने के बाद तर्क छह चरणों का निकला: फ़ाइल के अंतिम 64 बाइट्स से कॉन्फ़िगरेशन पढ़ना, ChaCha20 से एक छिपा पेलोड डिक्रिप्ट करना, डिस्क छुए बिना उसे मेमोरी में मैप करना, और फिर उसमें कूद जाना।

एम्बेडेड पेलोड में एंटी-डिबगिंग और एंटी-सैंडबॉक्स जाँचें थीं, और उसकी स्ट्रिंग्स पर परतदार एन्क्रिप्शन था। उपयोगकर्ता ने 672 एन्क्रिप्टेड स्ट्रिंग्स में से 601 डिक्रिप्ट कीं। डिक्रिप्ट की गई सूची में ब्राउज़र, क्रिप्टो वॉलेट, पासवर्ड मैनेजर और अकाउंट स्टोर लक्ष्य के रूप में दर्ज थे, जो क्रेडेंशियल और वॉलेट की चोरी का संकेत देते हैं।

यह मामला दिखाता है कि मीडिया के रूप में छिपा मैलवेयर साइज़ पैडिंग, रनटाइम रिज़ॉल्यूशन और इन-मेमोरी निष्पादन के ज़रिए पहचान से कैसे बच सकता है। उपयोगकर्ताओं को वीडियो रिलीज़ का भेष धरने वाले एक्जीक्यूटेबल्स से सावधान रहने की सलाह दी गई है।

Seorang pengguna yang menjalankan tumpukan media *arr standar di NAS menyadari bahwa Sonarr telah mengambil episode South Park palsu dari pelacak torrent publik. File tersebut bukan video, melainkan file eksekusi Windows dengan 2.392 seeder, dan terus gagal diimpor setiap 90 detik. Bittorrent menandai unduhan sebagai selesai padahal tidak ada satu byte pun yang benar-benar tertulis ke disk, dan pengguna tidak dapat menjelaskan hal ini.

Pengguna memasukkan rilis tersebut ke daftar blokir lalu sengaja mengunduhnya lagi untuk mengetahui isinya. Program aslinya hanya 118 KB; 886 MB sisanya adalah data sampah yang ditambahkan di bagian akhir untuk mengelabui pemindai. Obfuskasi berat berbasis XOR dilapiskan pada kode untuk membuat keluaran dekompiler tidak dapat dibaca. Setelah lapisan itu dihapus, logikanya hanya terdiri dari enam langkah: membaca konfigurasi dari 64 byte terakhir file, mendekripsi muatan tersembunyi menggunakan ChaCha20, memetakannya ke memori tanpa menyentuh disk, lalu melompat ke dalamnya.

Muatan yang tertanam memuat pemeriksaan anti-debugging dan anti-sandbox, serta menggunakan enkripsi berlapis pada string-nya. Pengguna berhasil mendekripsi 601 dari 672 string terenkripsi. Daftar hasil dekripsi menyebut peramban, dompet kripto, pengelola kata sandi, dan penyimpanan akun sebagai target, yang mengindikasikan pencurian kredensial dan dompet.

Kasus ini menunjukkan bagaimana malware yang menyamar sebagai media dapat lolos deteksi melalui penambahan ukuran, resolusi saat runtime, dan eksekusi di dalam memori. Pengguna disarankan untuk waspada terhadap file eksekusi yang menyamar sebagai rilis video.

NAS上で標準的な*arrメディアスタックを運用しているユーザーが、Sonarrが公開トレントトラッカーから偽の南方公園エピソードを取得したことに気づきました。ファイルは動画ではなく、2,392人のシーダーを持つWindows実行ファイルで、90秒ごとにインポートに失敗し続けていました。Bittorrentはダウンロードを完了と表示しましたが、実際にはディスクへ1バイトも書き込まれておらず、ユーザーにはその理由がわかりませんでした。

ユーザーはこのリリースをブロックリストに登録したうえで、中身を確かめるために意図的に再ダウンロードしました。本体のプログラムはわずか118 KBで、残りの886 MBはスキャナーを回避するために末尾に追加されたジャンクデータでした。コードにはXORベースの難読化が幾重にも施されており、逆コンパイラの出力は読めない状態でした。これを取り除くと、ロジックは6つの手順に集約されました。ファイル末尾の64バイトから設定を読み取り、ChaCha20で隠されたペイロードを復号し、ディスクに触れずにメモリへマッピングして、そこへジャンプします。

埋め込まれたペイロードにはデバッグ対策とサンドボックス対策のチェックがあり、文字列も多層的に暗号化されていました。ユーザーは672個の暗号化文字列のうち601個を復号しました。復号されたリストには、ブラウザ、暗号資産ウォレット、パスワードマネージャー、アカウント保存領域が標的として挙げられており、認証情報とウォレットの窃取を目的としていたことがうかがえます。

この事例は、メディアを装ったマルウェアがサイズの水増し、実行時の名前解決、メモリ内実行によって検出を逃れうることを示しています。ユーザーは、動画リリースを装った実行ファイルに注意するよう勧められています。

Um usuário que roda uma pilha *arr padrão em um NAS percebeu que o Sonarr havia baixado um episódio falso de South Park de trackers públicos de torrent. O arquivo não era um vídeo, mas um executável do Windows com 2.392 seeders, e continuava falhando ao importar a cada 90 segundos. O Bittorrent marcou o download como concluído sem que nenhum byte tivesse sido gravado no disco, o que o usuário não conseguiu explicar.

O usuário colocou a versão na lista de bloqueio e depois a baixou novamente de propósito para descobrir o que ela continha. O programa real tinha apenas 118 KB; os 886 MB restantes eram lixo anexado ao final para enganar os antivírus. Uma ofuscação pesada baseada em XOR foi sobreposta ao código para tornar a saída do descompilador ilegível. Retirada essa camada, a lógica resumia-se a seis etapas: ler uma configuração dos últimos 64 bytes do arquivo, descriptografar um payload oculto usando ChaCha20, mapeá-lo na memória sem tocar no disco e saltar para ele.

O payload embutido incluía verificações contra depuração e contra sandbox, e usava criptografia em camadas em suas strings. O usuário descriptografou 601 das 672 strings criptografadas. A lista revelada apontava navegadores, carteiras de criptomoedas, gerenciadores de senhas e armazenamentos de contas como alvos, indicando roubo de credenciais e carteiras.

O caso mostra como malwares disfarçados de mídia podem escapar da detecção por meio de preenchimento de tamanho, resolução em tempo de execução e execução em memória. Recomenda-se desconfiar de executáveis que se passam por lançamentos de vídeo.

Пользователь, который запускает стандартный стек *arr на NAS, заметил, что Sonarr скачал поддельный эпизод South Park с публичных торрент-трекеров. Файл оказался не видео, а исполняемым файлом Windows с 2 392 сидерами, и его импорт каждые 90 секунд завершался ошибкой. Bittorrent пометил загрузку как завершённую, хотя на диск не было записано ни одного байта, и пользователь не смог этого объяснить.

Пользователь занёс релиз в чёрный список, а затем намеренно скачал его снова, чтобы выяснить, что внутри. Настоящая программа весила всего 118 КБ; остальные 886 МБ были мусором, дописанным в конец, чтобы обойти сканеры. Поверх кода был наложен тяжёлый обфускационный слой на основе XOR, делающий вывод декомпилятора нечитаемым. После его удаления логика сводилась к шести шагам: прочитать конфигурацию из последних 64 байт файла, расшифровать скрытую полезную нагрузку с помощью ChaCha20, отобразить её в память без обращения к диску и передать ей управление.

Встроенная полезная нагрузка содержала проверки против отладки и песочниц, а её строки шифровались в несколько слоёв. Пользователь расшифровал 601 из 672 зашифрованных строк. Расшифрованный список называл целями браузеры, криптокошельки, менеджеры паролей и хранилища учётных записей, что указывает на кражу учётных данных и кошельков.

Этот случай показывает, как вредоносное ПО, замаскированное под медиафайл, может уходить от обнаружения с помощью дополнения размера, разрешения символов во время выполнения и исполнения в памяти. Пользователям рекомендуется с осторожностью относиться к исполняемым файлам, выдающим себя за видеорелизы.

一位在NAS上运行标准*arr媒体套件的用户发现，Sonarr从公共种子站点下载了一集伪造的《南方公园》。该文件根本不是视频，而是一个Windows可执行文件，有2,392个做种者，并且每90秒就导入失败一次。Bittorrent将下载标记为已完成，但磁盘上实际写入的字节数为零，用户对此无法解释。

用户将该版本加入黑名单后，又有意重新下载，以查明其内容。真正的程序只有118 KB，其余886 MB是为规避扫描器而附加在末尾的垃圾数据。代码上还叠加了大量基于XOR的混淆，使反编译输出无法阅读。去除混淆后，逻辑只有六个步骤：从文件末尾的64字节中读取配置，使用ChaCha20解密隐藏的载荷，在不接触磁盘的情况下将其映射到内存，然后跳转执行。

嵌入的载荷包含反调试和反沙箱检查，并对其字符串使用了多层加密。用户成功解密了672个加密字符串中的601个。解密后的列表将浏览器、加密货币钱包、密码管理器和账户存储列为目标，表明其意图是窃取凭证和钱包。

此案例表明，伪装成媒体文件的恶意软件可以通过体积填充、运行时解析和内存执行来逃避检测。建议用户警惕伪装成视频版本的可执行文件。