Torrent पर South Park EXE में छिपा Stealer
मूल शीर्षक: Someone on Torrent Sites Kept Fucking with My Sonarr
यह क्यों महत्वपूर्ण है
यह मामला दिखाता है कि *arr जैसे automated download stack malware delivery का आसान निशाना बन सकते हैं।
अक्टूबर 2026 में एक शोधकर्ता ने पाया कि South Park S29E03 के नाम से torrent साइटों पर 887 MB का .exe अपलोड था, जिसे 2,392 seeders मिले थे। Sonarr ने इसे स्वचालित रूप से grab किया। अंदर ChaCha20 से एन्क्रिप्टेड 929 KB का stealer malware था।
एक homelab उपयोगकर्ता का Sonarr सेटअप बार-बार एक अजीब फ़ाइल grab कर रहा था — South Park का नया एपिसोड .exe extension के साथ। qBittorrent ने इसे तुरंत 'finished' दिखाया, लेकिन disk पर कुछ नहीं उतरा।
शोधकर्ता ने उत्सुकतावश फ़ाइल जानबूझकर download की। कुल आकार 887 MB था, लेकिन असली PE binary मात्र 118 KB। बाकी 886 MB सिर्फ random junk था — इसलिए कई antivirus scanner बड़ी फ़ाइलें स्कैन करना छोड़ देते हैं।
IDA में विश्लेषण करने पर पता चला कि code में सैकड़ों बेकार XOR operations थे — सिर्फ decompiler output खराब करने के लिए। असली logic केवल छह चरणों में था: फ़ाइल खुद खोलना, आखिरी 64 bytes पढ़ना, उनसे payload decrypt करना, उसे memory में manually map करना, और सीधे execute करना। कुछ भी disk पर नहीं लिखा जाता।
Encryption के लिए ChaCha20 इस्तेमाल हुई, लेकिन decryption key खुद फ़ाइल के अंदर थी। Anti-debug और anti-sandbox जाँच भी थी (PEB→BeingDebugged), लेकिन कुछ ही Python lines से पूरा obfuscation हट जाता है।
Decrypted payload निकला 929 KB का C++20 stealer — zlib bundled, MSVC से compiled। version info में लिखा था 'Freeware Developers'।