概要
- Sonarr がSouth Parkの新エピソードを誤って .exeファイル としてダウンロード
- マルウェア であり、実行すると個人情報を窃取
- qBittorrent が自動でブロックし、被害は回避
- ファイル解析で 多重暗号化・難読化 が判明
- 対策方法 と注意喚起
SonarrでSouth Parkエピソードが.exeマルウェアとして配信
- South Park の新エピソード名を悪用した .exeファイル 配布
- Public tracker で2,392シーダー、実態はマルウェア
- Sonarr が自動取得、qBittorrentが即「完了」扱いしダウンロードせず
- 手動でブロックリスト に追加して再取得防止
- .mkv偽装フォルダ もなく、単純な.exeのみ
マルウェアの技術的解析
- PEファイル、x64 GUI、サイズ118KB＋ランダムデータ886MB
- ファイル末尾64バイトに 設定情報 （鍵・nonce・payloadサイズ等）
- ChaCha20暗号、鍵はファイル内に埋め込み
- 難読化 ：XORループ、アンチデバッグ・アンチサンドボックス機能
- 自己解凍・自己メモリマッピング、ディスクに残らず実行
- 解凍後は 第二のPE（929KB）、MSVC/C++20/zlib内蔵
盗難対象と機能
- ブラウザ （Chrome, Edge, Firefox, Opera, Brave, Vivaldi）：パスワード・Cookie・オートフィル
- 暗号通貨ウォレット （Exodus, Electrum, Atomic, Ledger Live, Trezor Suite, Monero, Zcash等）
- パスワードマネージャー （KeePass, Bitwarden, 1Password, NordPass等）
- アカウント情報 （Telegram, Discord, Steam, Roblox, Minecraft, Authy等）
- 開発者情報 （.ssh, .aws, .azure, gcloud, .kube, .docker）
- リモートアクセス （AnyDesk, TeamViewer, WinSCP, FileZilla, mRemoteNG, RDCMan）
- その他 （Outlook, Thunderbird, VPN設定, OBS, Sticky Notes, デスクトップの文書）
- すべてzip圧縮し外部送信
C2サーバー・通信手法
- サーバーアドレス はYouTubeチャンネル（bubblegym）やGitHub Gistから暗号化取得
- キーボードスマッシュ な鍵でXOR復号、アドレスはバイナリにもハードコード
- デッドドロップ方式 だが、結局アドレスがバイナリ内に存在
セキュリティ対策・運用注意
- qBittorrent ：「Excluded file names」で*.exe, *.scr, *.lnk, *.bat, *.cmdを除外
- Sonarr / Radarr ：該当ファイル発見時は「Remove from client」で即削除
- Prowlarr ：不審なトラッカーは評価を下げるか除外
- 絶対に.exeを実行しない ことが最重要
- 家族や同居人の誤操作 にも注意喚起
感想と皮肉
- 高度な難読化・多重暗号化 にも関わらず、Python数行で解析可能
- C2アドレス もバイナリに残り、実質的な意味は薄い
- 開発者への皮肉 ：膨大な時間と技術をマルウェアではなく正業に使うべき