공개 토렌트에 EXE 위장 악성코드로 뿌려지는 Sonarr 공격

핵심 요약

• 저자가 NAS의 Sonarr *arr 스택을 운영 중 South Park 에피소드 이름에 .exe를 붙인 파일이 2,392개 시더로 공개 토렌트에 올라와 자동으로 다운로드된 사건 발생.
• qBittorrent는 파일을 받지 못했으나(total_downloaded: 0) Sonarr는 90초마다 임포트를 시도했고, Sonarr 내 블록리스트로 해당 토렌트를 차단함.
• 저자가 호기심으로 파일을 다시 다운로드해 분석한 결과, 887 MB 크기의 실제 PE 바이너리(118 KB 본체 + 886 MB 랜덤 데이터)로 대형 파일 크기로 백신 탐지 회피를 시도.
• 바이너리 내부는 XOR 난독화로 뒤덮여 있으나, 핵심 로직은 자신 파일을 열어 마지막 64바이트를 읽고 ChaCha20으로 페이로드를 복호화해 메모리에 PE로 매핑하는 6단계.
• 마지막 64바이트에 ChaCha20 키, nonce, 페이로드 크기, 플래그 정보가 있으며, Python 몇 줄로 난독화를 제거할 수 있음.
• 두 번째 PE(929 KB)는 정보 탈취 악성코드로 AES-128-CTR로 암호화된 672개의 스트링을 포함하며 Unicorn 에뮬레이션으로 601개 문자열 복호화 성공.
• Chrome, Edge, Brave, Opera, Vivaldi, Firefox 등 브라우저의 비밀번호·쿠키·자동완성, Exodus·Electrum·Atomic 등 암호화폐 지갑, KeePass·Bitwarden·1Password 등 비밀번호 관리자 탈취 가능.
• KeePassXC, Windows Credential Manager, Telegram, Discord, Steam, Roblox, Minecraft, Authy, .ssh, .aws, .azure, .kube, .docker, AnyDesk, TeamViewer, WinSCP, FileZilla, mRemoteNG, RDCMan, Outlook, Thunderbird, OBS, Windows Sticky Notes 등 광범위한 데이터 탈취 대상.
• 하드코딩된 C2 주소 beenetprotect[dot]com/lgz/gdata 외에도 YouTube 채널과 GitHub Gist를 통한 간접 주소 설정(base64 + XOR 기법) 시도.
• YouTube 채널 'bubblegym'과 도메인 BEENETPROTECT.COM 모두 2026년 9월 14일 생성, 10월 6일 빌드, 10월 8일 토렌트 배포.
• Sonarr/Radarr 사용자를 위한 방어법: qBittorrent에서 *.exe, *.scr, *.lnk, *.bat, *.cmd를 제외 파일명으로 설정, Sonarr/Radarr의 블록리스트 활용, 신뢰할 수 없는 인덱서 제거.