Фальшивый эпизод South Park в Sonarr оказался инфостилером на 887 МБ

Релиз, который не импортировался

В посте описан релиз под названием «South Park S29E03 1080p WEB H264-MeGusta», который Sonarr, менеджер загрузки сериалов, забрал с публичных трекеров. Это был 887-мегабайтный исполняемый файл Windows. Автор занёс его в блоклист, а потом скачал повторно, чтобы разобрать.

Настоящая программа занимает только первые 118 КБ. Остальное набивка, вероятно, чтобы сканеры сдались. Загрузчик набит мусорными XOR-операциями, которые сбивают с толку декомпиляторы. Он читает 64-байтовый футер с ключом, nonce и флагами, расшифровывает ChaCha20 скрытую полезную нагрузку, вручную раскладывает её в памяти и запускает, не трогая диск. Одно значение флага включает проверки против отладчиков и песочниц; если они срабатывают, программа тихо завершается.

Что крадёт нагрузка и куда она стучится

Полезная нагрузка объёмом 929 КБ это инфостилер на C++20. Её строки зашифрованы AES-128-CTR; автор расшифровал 601 из 672 мест вызова, эмулируя код через Unicorn. Цели: пароли и cookie браузеров, автозаполнение, криптокошельки, менеджеры паролей, токены Telegram и Discord, аккаунты Steam и других игровых сервисов, SSH, учётные данные AWS, Azure и Kubernetes, VPN-конфиги, почта и документы на компьютере. Данные архивируются и отправляются наружу.

Адрес управляющего сервера спрятан в YouTube-канале и GitHub-гисте. Декодирование выводит домен beenetprotect[dot]com, зарегистрированный через Cloudflare 14 сентября 2026 года, в один день с каналом. Сборки датированы 6 октября, а торрент выложили 8 октября.

Это был не один фальшивый эпизод

В треде сказано, что релиз South Park был одним экземпляром из потока. Комментатор, который запускает краулер DHT bitmagnet, регулярно ищет популярные названия:

«Почти всё, что хоть немного популярно и что я ищу, где-то лежит с таким EXE. Иногда сразу несколько.» — комментатор, который запускает краулер DHT bitmagnet

Комментатор, просмотревший зеркало Pirate Bay, увидел в его свежей ленте .exe-файлы одинакового размера в каждой категории. VirusTotal отнёс один из них к дропперам, хотя комментатор отметил, что VirusTotal не окончательное доказательство. Так что размер 887 МБ это шаблон, а не разовый случай.

Вывод для тех, кто держит стек *arr

Автор не сообщает о блокировке ни домена, ни торрента. Его совет: добавить *.exe, *.scr, *.lnk, *.bat и *.cmd в исключаемые имена файлов в qBittorrent, заносить плохие релизы в блоклист Sonarr и Radarr с действием «Remove from client» и понижать или убирать в Prowlarr трекеры, которые продолжают раздавать это вредоносное ПО.

Тред объясняет, почему первый шаг важнее всего. Комментатор, который ссылается на несколько открытых pull request в Sonarr, возразил, что понижать оценку релизов за «.exe» в названии временная мера:

«Понижать их в профилях релизов через уменьшение оценки — остроумный обходной путь, но торренты просто перестанут писать «.exe» в названии.» — комментатор, который ссылается на несколько открытых pull request в Sonarr

Фильтр по именам файлов внутри торрента обойти сложнее: нагрузка, которой нужно запуститься, всё равно должна выглядеть как исполняемый файл. Правда, тот же комментатор предупреждает, что некоторые легальные ISO-релизы содержат такие имена, поэтому ложные срабатывания будут время от времени.