一名安全研究人员最近记录了一场针对自动化媒体管理工具（如 "*arr" 系列，包括 Sonarr 和 Radarr）用户的恶意软件活动。该恶意软件通过伪装成流行的媒体文件（如《南方公园》的剧集）在公共 Torrent 追踪器上分发。在其中一个案例中，一个带有标准媒体扩展名的文件实际上是一个可执行文件（EXE）。虽然像 Sonarr 这样的自动化工具无法执行这些文件，但对于手动与下载文件夹交互并双击文件的用户来说，威胁依然存在。
文章讨论了恶意软件如何通过伪装成 Sonarr 等工具的媒体文件在公共 Torrent 追踪器上分发。
该恶意软件采用了多种技术来规避检测和分析。主文件大小约为 887 MB，但实际的可执行逻辑仅占 118 KB。其余的 886 MB 是附加到文件末尾的随机垃圾数据，这种策略旨在绕过那些可能放弃处理超大文件的安全扫描器。为了进一步增加逆向工程的难度，作者使用了数百次 XOR 操作来混淆反编译输出。尽管存在这些层级，其核心逻辑相对简单：程序打开自身，读取配置页脚，并使用 ChaCha20 加密算法将隐藏的有效载荷解密到内存中。该有效载荷随后在内存中被映射为可执行文件（PE），确保恶意代码在执行过程中从未触及物理磁盘。
一旦激活，该恶意软件就作为一个全面的“窃密木马”运行，旨在收集广泛的敏感数据。它针对主流网络浏览器（包括 Chrome、Brave 和 Firefox）以提取密码、Cookie 和自动填充数据。它还专门针对加密货币钱包（如 Ledger Live 和 Trezor Suite）、密码管理器（如 Bitwarden 和 1Password）以及开发者凭据（包括 .ssh 和 .aws 密钥）。值得注意的是，该恶意软件甚至针对 Windows 便签，用户经常使用便签来存储恢复密钥或快速笔记。被盗数据使用捆绑的 zlib 库进行压缩，并外传到远程服务器。研究人员指出，虽然该恶意软件使用了复杂的加密算法（如 AES-128-CTR 和 RC4-hidden S-boxes），但配置密钥通常直接存储在文件中，使得有效载荷只需极小的代价即可被解密。
为了降低此类风险，研究人员为自动化下载客户端用户提出了几种主动措施。例如，qBittorrent 用户可以将常见的可执行文件扩展名（如 .exe、.scr 和 .bat）添加到“排除的文件名”列表中，以防止它们被下载。对于使用 Sonarr 或 Radarr 的用户，建议将这些文件列入黑名单，并使用“从客户端移除”命令将其从下载队列中清除。此外，转向私有追踪器（通常具有更严格的内容审核）与公共追踪器相比，可以降低遇到此类恶意文件的可能性。