AI 요약
NAS에서 *arr 스택(Sonarr 등)을 운영하던 사용자가 사우스파크 에피소드로 위장한 .exe 파일이 토렌트 트래커에 유포되어 Sonarr가 자동으로 다운로드한 사건을 분석했다. 해당 파일은 2,392명의 시더를 확보했으며, qBittorrent는 0바이트로 "완료" 처리했다. 사용자가 직접 분석한 결과 887MB 중 실제 실행 파일은 118KB에 불과했고, 나머지는 스캐너 회피용 정크 데이터였다. 악성코드는 ChaCha20 암호화로 페이로드를 숨기고 PEB 조작을 통해 디스크에 흔적 없이 메모리에서 실행되는 구조였다.
핵심 포인트
- 사우스파크 S29E03로 위장한
.exe파일이 공개 트래커에 2,392 시더를 확보하며 유포됨 - 실제 PE 파일은 118KB, 나머지 886MB는 스캐너 무력화용 랜덤 정크 데이터
- ChaCha20 스트림 암호와 XOR 난독화로 리버스 엔지니어링 방해, 안티디버그·안티샌드박스 기능 포함
- 페이로드 키가 파일 내부에 평문으로 존재하는 허술한 설계
향후 전망
- Sonarr 등 자동화 미디어 관리 도구의 파일 확장자 검증 강화 필요
- 공개 트래커의 실행 파일 위장 악성코드 유포가 지속될 것으로 예상