Malware EXE Menyamar Jadi Episode South Park
Judul asli: Someone on Torrent Sites Kept Fucking with My Sonarr
Mengapa Ini Penting
Otomasi *arr stack jadi vektor serangan baru yang jarang disadari pengguna homelab.
File EXE berukuran 887 MB dengan 2.392 seeder diunggah ke situs torrent, menyamar sebagai episode South Park S29E03, dan berhasil di-grab otomatis oleh Sonarr.
Seorang pengguna *arr stack di NAS-nya mendapati Sonarr secara otomatis mengunduh file bernama 'South Park S29E03 1080p WEB H264-MeGusta.exe' dari tracker publik. File tersebut memiliki 2.392 seeder — angka yang cukup besar untuk menipu sistem otomatis seperti Sonarr.
Ukuran file mencapai 887 MB, tapi program aslinya hanya 118 KB. Sisa 886 MB adalah sampah acak yang ditambahkan ke akhir file — taktik umum untuk mengelabui banyak antivirus scanner yang menyerah saat menganalisis file raksasa. Version info file menyebut nama perusahaan 'Freeware Developers' dan deskripsi 'prepares application data'.
Setelah membedah file, peneliti menemukan payload dienkripsi dengan ChaCha20. Kunci enkripsi justru tersimpan di dalam file itu sendiri — artinya siapa pun bisa mendekripsinya tanpa menjalankan program. Hanya butuh belasan baris Python untuk mengekstrak payload kedua berukuran 929 KB, yang ternyata adalah stealer — malware pencuri data.
Obfuskasi kode dilakukan dengan ratusan operasi XOR yang tidak melakukan apa pun selain mengacaukan output decompiler. Anti-debug dan anti-sandbox juga disertakan: jika terdeteksi, program langsung keluar diam-diam. qBittorrent secara tidak sengaja menyelamatkan situasi karena menandai file sebagai selesai meski tidak ada data yang benar-benar terunduh.