一位在NAS上运行标准*arr媒体套件的用户发现，Sonarr从公共种子站点下载了一集伪造的《南方公园》。该文件根本不是视频，而是一个Windows可执行文件，有2,392个做种者，并且每90秒就导入失败一次。Bittorrent将下载标记为已完成，但磁盘上实际写入的字节数为零，用户对此无法解释。
用户将该版本加入黑名单后，又有意重新下载，以查明其内容。真正的程序只有118 KB，其余886 MB是为规避扫描器而附加在末尾的垃圾数据。代码上还叠加了大量基于XOR的混淆，使反编译输出无法阅读。去除混淆后，逻辑只有六个步骤：从文件末尾的64字节中读取配置，使用ChaCha20解密隐藏的载荷，在不接触磁盘的情况下将其映射到内存，然后跳转执行。
嵌入的载荷包含反调试和反沙箱检查，并对其字符串使用了多层加密。用户成功解密了672个加密字符串中的601个。解密后的列表将浏览器、加密货币钱包、密码管理器和账户存储列为目标，表明其意图是窃取凭证和钱包。
此案例表明，伪装成媒体文件的恶意软件可以通过体积填充、运行时解析和内存执行来逃避检测。建议用户警惕伪装成视频版本的可执行文件。
来源: Hacker News · 由HeadlinesBriefing整理摘要