사우스파크 에피소드로 위장한 exe가 토렌트에 퍼져 있었고 정보 탈취 악성코드였음
- 사우스파크 에피소드 이름에 .exe를 붙인 가짜 실행 파일이 공개 트래커에서 시더 2,392명을 모았고, Sonarr가 이를 그대로 잡아 90초마다 임포트를 재시도함
- 실제 프로그램은 앞쪽 118 KB뿐이고 나머지 886 MB는 스캐너 회피용 쓰레기 데이터로 채워져 있음
- 정보 탈취 악성코드로 확인됨, 브라우저 비밀번호와 쿠키, 암호화폐 지갑, 디스코드 토큰, Steam 계정 등을 노림
- 디버거와 샌드박스를 검사해 걸리면 조용히 종료하는 구조이고, 복호화 키가 파일 안에 그대로 들어 있어 파이썬 몇 줄로 두 번째 PE를 꺼낼 수 있었음
- AES-CTR 방식으로 암호화된 문자열 672개 중 601개를 Unicorn 에뮬레이션으로 복호화함
Hacker News opinions
qBittorrent에서 exe, scr, zip 같은 확장자는 아예 못 받게 막아두면 됨. 몇 년 전부터 있던 방법임.
이거 완전 25년 전 웹포럼 분위기임. 파일 공유 사이트에 악성 exe 뿌린다고 난리 치던 때랑 똑같음.
프라이빗 트래커 들어가서 그냥 잊고 살면 됨.
나는 ISO 안에 원래 그런 이름 파일이 들어 있는 경우가 있어서 확장자로 막기 애매함. Sonarr/Radarr이 검색하고 받고 검사까지 하니까 거기서 막아야 한다고 봄. 관련 PR도 몇 년째 올라와 있음.
프라이빗 트래커는 가입비 내는 데도 있고 비율 유지가 빡셈. 게을러서 안 하는 게 아니라 시딩 유지할 여유가 없는 거임.
Usenet인 sabnzbd에서도 이거 봤음. 거기도 exe 규칙 따로 넣어서 막았음.
공개 토렌트 트래커에서 제일 흔하고 Usenet에서도 가끔 보임. 어느 인덱서에서 오는지는 따져본 적 없음.
Sonarr 인덱서 설정에서 Fail Downloads에 Executables 넣으면 자동으로 블랙리스트 처리되고 재검색함. 근데 Prowlarr 쪽은 이슈가 아직 열려 있음.
나도 Usenet 유료로 쓰는데 며칠 지난 파일은 서버에서 금방 사라짐. 오래된 거 그냥 보고 싶을 땐 토렌트가 낫더라.
악성코드에 Gist랑 YouTube 백업 주소를 넣어두는 건 테이크다운 대비용임. 주소를 바꿀 수 있어야 버틸 수 있음.
토렌트 생긴 뒤로 계속 있던 수법임. 인기 작품 검색하면 맨날 나옴.
bitmagnet 돌린 지 몇 주 됐는데 인기 있는 거 검색하면 거의 다 이 exe가 섞여 있음.
Sonarr이 그냥 그 확장자는 무시하게 만들 수는 없었음?
*arr 스택이 왜 이렇게 복잡해짐. 예전엔 브라우저랑 토렌트 클라이언트랑 VLC면 충분했는데.