Someone on Torrent Sites Kept Fucking with My Sonarr
Пользователь NAS с обычным набором приложений «*arr» обнаружил в очереди Sonarr застрявший эпизод «Южного парка» — файл с расширением .exe и 2392 сидерами на публичных трекерах. qBittorrent пометил загрузку завершённой с нулевым объёмом, поэтому на диск ничего не попало, а Sonarr каждые 90 секунд безуспешно пытался импортировать несуществующий путь. После блокировки в Sonarr автор намеренно скачал файл снова, чтобы разобрать его.
Это оказался настоящий PE-файл x64 с GUI: полезная программа весит всего 118 КБ, а остальные 886 МБ — случайный мусор, приклеенный, чтобы сканеры сдавались на больших файлах. Код усыпан бессмысленными XOR-операциями, лишь запутывающими декомпилятор. Логика сводится к шести шагам: открыть свой файл, прочитать последние 64 байта, расшифровать скрытую полезную нагрузку, вручную отобразить её как PE в памяти, подменить PEB->ImageBaseAddress и передать управление. На диск ничего не пишется.
Последние 64 байта — это конфиг: ключ, nonce ChaCha20, размер нагрузки и флаги, замаскированные через FNV-1a. Флаги включают антиотладку и антипесочницу. Ключ лежит прямо в файле, так что расшифровать можно без запуска. Внутри — второй PE, а адрес управляющего сервера спрятан в base64-строке, XOR-нутой с набором символов, и ведёт на YouTube-канал «bubblegym», созданный 14 сентября 2026 года. Домен beenetprotect[dot]com зарегистрирован в тот же день через Cloudflare, сборка — 6 октября, торрент — 8 октября.
Для защиты автор советует добавить *.exe, *.scr, *.lnk, *.bat, *.cmd в исключения qBittorrent, блокировать такие раздачи в Sonarr и Radarr с удалением из клиента, а в Prowlarr понижать или удалять трекеры, которые это распространяют.