Torrent 网站上有人不断地操弄我的 Sonarr

我在 NAS 上运行常用的 *arr 堆栈。它通常工作得很好，直到我在仪表板上看到警告。新的《南方公园》剧集被困在队列中：谁在2026年的大事件中实际上陷入了困境？？？这是一个 EXE 让我非常清楚这是什么。有人拿了南方公园 EP 的名字，把 .exe 放在最后，然后将其上传到有 2,392 个播种者的公共追踪器上，？？？谁正在将剧集作为 EXE 删除？？？ Sonarr 抓住了它，因为它当然抓住了。然后它就坐在那里，试图每隔 90 秒导入一次：导入失败，路径不存在或无法通过 Sonarr 访问：/data/downloads/torrents/South Park S29E03 1080p WEB H264-MeGusta.exe 甚至没有一个带有假 .mkv 的文件夹和旁边的“编解码器安装程序”，就像“美好的过去”一样。只是exe。我们是死人吗？ qBittorrent 在添加了total_downloaded: 0 后两秒将其标记为“完成”，因此实际上没有任何内容落在磁盘上。不知道为什么。别在意。谢谢qBit。我在 Sonarr 中将其列入黑名单，从而将其从 qBittorrent 中删除，并阻止其再次抓取相同的垃圾邮件恶意软件。然后我特意又下载了一次。因为现在我很生气，我想知道里面是什么。 887 MB 无内容 这是一个真正的 PE、x64 GUI。实际程序为 118 KB。 pe end 0x1ce00 覆盖 886653736 字节 另外 886 MB 是粘在末尾的随机垃圾。为什么？因为很多扫描仪都会放弃这么大的文件。版本信息显示： CompanyName 免费软件开发人员 FileDescription 准备应用程序数据 OriginalFilename SetupHelper.exe “免费软件开发人员”。我的天啊，我把前面的 118 KB 砍掉了，然后把它扔进了 IDA，因为我不会把 1GB 的废话加载到任何东西里。然后整个事情就这样涵盖了： dword_14000C020 ^= 0x F2C2EAC0 ； v34=0； dword_14000C020 ^= 0x F2C2EAC0 ;对全局进行异或。将其异或回来。什么都不做。数百次。它的存在纯粹是为了让反编译器的输出看起来像狗屎，它确实如此，恭喜。去掉所有这些，逻辑就像六个步骤： 打开它自己的文件。读取最后 64 个字节。使用它们来查找并解密隐藏在垃圾中的有效负载。手动将其映射为内存中的PE。将 PEB->ImageBaseAddress 指向它。跳进来。没有任何东西接触磁盘。添加所有这些混淆需要六个步骤。文件的最后 64 字节是整个配置： 偏移大小 描述 0x00 32 字节密钥，与 .data 中的 32 字节掩码进行异或 0x20 12 字节 ChaCha20 随机数 0x2C 4 字节有效负载大小 ^ fnv1a(mask) 0x30 4 字节（标志 | 填充 << 8）^ fnv1a(mask) 0x34 8 字节有效负载size ^ fnv1a(mask) 0x3C 4 字节 fnv1a(mask) 这是ChaCha20。他们通过从全局变量中构建常量来隐藏常量，并且仍然会扩展 32 字节 k 。您无法向以前见过 ChaCha20 的人隐藏 ChaCha20。 flags = 3 打开反调试检查（ PEB->BeingDebugged ，调试端口查询，通常）和反沙箱分数。任何一个跳闸，它就会安静地退出。沙箱会看到普通应用程序打开文件并离开。凉爽的。只不过密钥确实在文件内部。 (????) 你甚至不需要运行它： mask = bytes 。 fromhex ( " 56951de331cd7f254bf1931533dd82bc3c8bf542f0d1ed5736a40f394c51d0a1 " ) h = fnv1a ( 掩码 ) 大小 = u64 ( 页脚 , 0x 34 ) ^ ( h | h << 32 ) fl = h ^ u32 ( footer , 0x 30 ) pad = fl >> 8 key = xor ( mask , footer [: 32 ]) nonce = footer [ 32 : 44 ] payload = chacha20 ( key , nonce , data [ - 64 - pad - size : - 64 - pad ]) 弹出第二个 PE。 929 KB，MSVC，C++20，捆绑 zlib。所有这些反分析的废话，只要十几行 Python 就可以剥离 obf。令人惊讶的是，这是一个 Stealer 字符串被加密，导入被剥离到 CRT，一切都在运行时解决。然后 WinMain 只是以纯文本形式按名称转储每个模块： osinfo browsers telegram wallets discord steam Clipboard Remoteaccess credentialmanager authy Notes obs ssh email games filegrabber 每个其他字符串都有自己的函数： v5 = _mm_xor_ps ( v6 , v5 ); v7 = { 1924987977 , 1270327144 , 877876327 , 271431577 }; v8 = { 641333755 , - 1942364857 , ... }; sub_140080F40 (& v5, v7, v8, 0x 20);两个常量异或为密钥、IV、密文、长度。 sub_140080F40 是 AES，S-box 隐藏在 RC4 后面，因为一层加密显然不够前卫。尝试了第一个的标准模式：cbc b'w\x1c\xe9\xc6\xa0y\x96\xa4...' ctr b'guid=\x00\x00\x00...' AES-128-CTR。每个字符串键。 672 个呼叫站点。我不是用手做的。因此，我从 IDA 中提取了每个调用站点，在 Unicorn 中模拟每次调用之前的几条指令，从寄存器中获取密钥、IV 和密文，并在 Python 中对它们进行解密。 672 人中有 601 人干净利落。其余的都埋在更大的函数中，但我真的不在乎，601 已经足够了。它想要几乎所有的浏览器：Chrome、Edge、Brave、Opera、Opera GX、Vivaldi、Firefox。密码、cookie、自动填充，它还有 Chrome 新应用程序绑定加密的代码。加密钱包：Exodus、Electrum、Atomic、Guarda、Coinomi、Ledger Live、Trezor Suite、Wasabi、Spa