Un malware caché dans un épisode de South Park
Original : Someone on Torrent Sites Kept Fucking with My Sonarr
Pourquoi c'est important
Les stealers via trackers publics ciblent directement les homelabs automatisés comme les stacks *arr.
Un fichier .exe de 887 Mo déguisé en épisode de South Park S29E03 a circulé sur des trackers publics avec 2 392 seeders. Un développeur l'a analysé : c'est un stealer chiffré avec ChaCha20, déchiffrable en une dizaine de lignes Python.
Un utilisateur gérant une instance Sonarr sur NAS a vu son gestionnaire de téléchargements attraper automatiquement un fichier nommé « South Park S29E03 1080p WEB H264-MeGusta.exe » — avec 2 392 seeders sur des trackers publics. qBittorrent a marqué le téléchargement comme terminé sans rien écrire sur le disque (raison inconnue), ce qui a limité les dégâts. L'auteur du billet a ensuite téléchargé le fichier volontairement pour l'analyser.
Le fichier pèse 887 Mo, mais le vrai exécutable PE x64 ne fait que 118 Ko. Le reste est du bruit aléatoire collé à la fin — une technique connue pour contourner les scanners qui abandonnent sur les gros fichiers. Le binaire est truffé d'opérations XOR redondantes (XOR une valeur, puis XOR inverse immédiatement) pour polluer la sortie des décompilateurs.
La logique réelle tient en six étapes : le programme lit ses 64 derniers octets comme configuration, déchiffre un payload ChaCha20 caché dans le « bruit », le mappe en mémoire en tant que PE, puis l'exécute sans jamais toucher le disque. Des vérifications anti-debug (PEB->BeingDebugged) et anti-sandbox sont présentes, mais la clé de déchiffrement est stockée dans le fichier lui-même. Résultat : une dizaine de lignes Python suffisent à extraire le payload — un stealer compilé en C++20, 929 Ko, avec zlib intégré.