토렌트 사이트의 가짜 영상 파일, 실제 정보탈취 악성코드였다
원제: Someone on Torrent Sites Kept Fucking with My Sonarr
왜 중요한가
Sonarr 같은 자동화 미디어 도구가 악성 토렌트를 자동 수집하는 공격 벡터로 활용될 수 있음을 실증한 사례다.
2026년 10월, 한 홈랩 운영자가 토렌트 사이트에서 Sonarr로 자동 다운로드된 'South Park S29E03 1080p WEB H264-MeGusta.exe' 파일을 역공학 분석한 결과, ChaCha20으로 암호화된 정보탈취형 악성코드(Stealer)가 내장된 것을 확인했다. 파일 크기는 887MB였으나 실제 실행 코드는 118KB에 불과했다.
홈 미디어 자동화 스택(*arr)을 운영하던 개발자 thereallo가 Sonarr 대시보드에서 이상한 경고를 발견했다. 다운로드 큐에 쌓인 South Park 에피소드 파일명 끝에 '.exe'가 붙어 있었고, 해당 토렌트는 2,392개의 시더를 보유하고 있었다.
qBittorrent가 다운로드 직후 'total_downloaded: 0'으로 처리하며 실제 파일이 디스크에 저장되지 않았지만, 개발자는 분석을 위해 의도적으로 다시 내려받았다.
파일 구조를 분석하자 887MB 중 886MB 이상이 무작위 정크 데이터였다. 이는 용량 기반 스캔을 우회하기 위한 전형적인 수법이다. 실제 PE 실행 파일은 118KB였으며, IDA로 분석하자 XOR 연산을 수백 번 반복해 디컴파일러 출력을 교란하는 난독화 코드로 가득했다.
핵심 로직은 단 여섯 단계다. 자기 자신을 열고, 파일 끝 64바이트를 읽어 ChaCha20 키와 nonce를 추출한 뒤, 정크 데이터 안에 숨겨진 페이로드를 복호화해 메모리에 직접 매핑하고 실행한다. 디스크에는 아무것도 기록되지 않는다.
안티디버그 및 안티샌드박스 검사(PEB->BeingDebugged, 디버그 포트 쿼리)가 포함되어 있으나, 복호화 키가 파일 내부에 그대로 있어 실행 없이도 Python 12줄로 페이로드를 추출할 수 있었다. 복호화된 내부 PE는 929KB, MSVC C++20으로 작성된 정보탈취 악성코드였다.