セキュリティ研究者が最近、SonarrやRadarrといった「*arr」スタックなどの自動メディア管理ツールのユーザーを標的としたマルウェアキャンペーンを記録しました。このマルウェアは、*South Park*のエピソードなどの人気メディアファイルに擬態して、公開Torrentトラッカー上で配布されていました。ある事例では、標準的なメディア拡張子を冠したファイルが、実際にはPortable Executable（EXE）ファイルでした。Sonarrのような自動ツールはこれらのファイルを実行することはできませんが、ダウンロードフォルダを手動で操作し、ファイルをダブルクリックするユーザーに対しては脅威が残ります。
この記事では、Sonarrのようなツールのためのメディアファイルに擬態して、公開Torrentトラッカーでマルウェアがどのように配布されるかを説明しています。
このマルウェアは、検知や分析を回避するためにいくつかの手法を採用しています。メインのファイルは約887 MBありましたが、実際の実行ロジックはわずか118 KBでした。残りの886 MBは、非常に大きなファイルの処理を断念する可能性のあるセキュリティスキャナーを回避するために、ファイルの末尾に追加されたランダムなジャンクデータでした。リバースエンジニアリングをさらに困難にするため、作成者は数百のXOR演算を使用してデコンパイラの出力を難読化しました。これらの層があるにもかかわらず、コアロジックは比較的単純です。プログラムは自身を開き、構成フッターを読み取り、ChaCha20暗号を使用して隠されたペイロードをメモリ内に復号します。このペイロードはメモリ内でPortable Executable（PE）としてマッピングされ、実行中に悪意のあるコードが物理ディスクに決して触れないようになっています。
アクティブになると、このマルウェアは広範囲の機密データを収集するように設計された包括的な「スティーラー」として機能します。主要なウェブブラウザ（Chrome、Brave、Firefoxを含む）を標的にして、パスワード、Cookie、オートフィルデータを抽出します。また、暗号資産ウォレット（Ledger LiveやTrezor Suiteなど）、パスワードマネージャー（Bitwardenや1Passwordなど）、および開発者資格情報（.sshや.awsキーを含む）を特に標的にします。注目すべきことに、このマルウェアはユーザーがリカバリキーやクイックメモを保存するために頻繁に使用するWindowsの付箋（Sticky Notes）まで標的にしています。盗まれたデータは同梱のzlibライブラリを使用して圧縮され、リモートサーバーに送信されます。研究者は、マルウェアがAES-128-CTRやRC4-hidden S-boxesのような複雑な暗号を使用している一方で、構成キーがファイル内に直接保存されていることが多く、最小限の労力でペイロードを復号できることに言及しました。
このリスクを軽減するために、研究者は自動ダウンロードクライアントのユーザーに対していくつかの予防策を提案しています。例えば、qBittorrentのユーザーは、一般的な実行可能拡張子（.exe、.scr、.batなど）を「除外ファイル名」リストに追加することで、最初からそれらがダウンロードされるのを防ぐことができます。SonarrやRadarrを使用しているユーザーに対しては、これらのファイルをブラックリストに追加し、「クライアントから削除」コマンドを使用してダウンロードキューから削除することを推奨しています。さらに、通常はより厳格なコンテンツモデレーションが行われるプライベートトラッカーに移行することで、公開トラッカーと比較してこのような悪意のあるファイルに遭遇する可能性を減らすことができます。