토렌트 사이트의 누군가가 내 Sonarr를 계속 엿 먹이고 있었다

공개 트래커에 South Park 에피소드로 위장한 .exe 악성코드가 올라왔고, Sonarr가 이를 가져온 뒤 90초마다 가져오기 실패를 반복함 파일의 실제 실행 프로그램은 118KB였지만, 뒤에 약 886MB의 데이터를 붙여 대용량 파일 검사를 포기하는 스캐너를 회피하도록 구성됨 ChaCha20과 AES-128-CTR, 디버거/샌드박스 탐지로 분석을 방해했지만, 파일에 포함된 키와 부분 에뮬레이션으로 내부 페이로드와 문자열 대부분을 복호화할 수 있었음 내부 페이로드는 정보 탈취 악성코드로, 브라우저 비밀번호와 쿠키뿐 아니라 암호화폐 지갑, 비밀번호 관리자, 개발 환경 자격 증명, 원격 접속 도구와 개인 문서까지 수집함 Sonarr 자체는 .exe를 실행하지 않으며, 실제 위험은 사용자가 다운로드 폴더에서 파일을 직접 실행하는 데 있음 에피소드로 위장한 실행 파일과 반복되는 가져오기 실패 NAS의 *arr 스택에서 새 South Park 에피소드가 대기열에 걸린 채 대시보드 경고를 발생시킴 공개 트래커에는 South Park S29E03 1080p WEB H264-MeGusta.exe라는 이름으로 올라왔으며, 시더 수는 2,392명으로 표시됨 가짜 영상과 코덱 설치 프로그램을 함께 넣은 형태가 아니라, 에피소드 이름에 .exe를 붙인 단일 실행 파일이었음 Sonarr는 해당 경로가 없거나 접근할 수 없다는 오류를 내며 90초마다 가져오기를 재시도함 qBittorrent는 추가한 지 2초 만에 total_downloaded: 0 상태로 완료 처리했으며, 실제로 디스크에 내려받은 파일은 없었음 이 동작의 원인은 확인하지 못함 Sonarr에서 차단 목록에 등록해 qBittorrent에서도 제거하고 동일 항목을 다시 가져오지 못하게 한 뒤, 분석 목적으로 별도 다운로드함 118KB 로더와 886MB 덧붙임 데이터 파일은 x64 GUI PE 실행 파일이며, 실제 프로그램 크기는 118KB에 불과함 PE 영역 끝은 0x1ce00, 뒤에 붙은 오버레이는 886,653,736바이트임 약 886MB의 무작위 데이터를 덧붙인 목적은 이 정도로 큰 파일의 검사를 포기하는 스캐너를 회피하는 데 있음 버전 정보에는 CompanyName: Freeware Developers, FileDescription: prepares application data, OriginalFilename: SetupHelper.exe가 들어 있음 앞부분만...