Japanese Translation:

悪意のある x64 PE 実行可能ファイルが、South Park エピソードの Torrent ファイルと偽装され、10 月 8 日に公衆トラッカーにアップロードされました（10 月 6 日に構築）。シード数は 2,392 です。このファイルは実際のコードである 118 KB を廃棄物で約 886 MB にパディングしたもので、オブフスケーションおよびサイズトリックを通じてスキャナから回避するように設計されています。このマルウェアは完全にメモリ上で動作し、実行時に自身のファイルをオープンして最後の 64 バイトを読み込み、構成情報を取得します（ChaCha20 で暗号化され、鍵は 0x0032、nonce は 0x20 で FNV1a マスキングが適用された）。その後、ペイロードを復号化し、ディスクへの書込みなしに自身をマッピングします。マルウェアは分析回避技術を採用しており、PEB->BeingDebugged チェック、デバッグポートクエリ、そしてサンボックススコアリングロジック（検出された場合、静かに終了するトリガー）が含まれます。マルウェアは AES/RC4 ハイブリッドを暗号化された文字列に使用し、動的に第 2 の PE（929 KB、MSVC/C++ ベース）を生成しますが、メイン実行可能ファイルが直接実行することはなく、攻撃連鎖の一部です。マルウェアは Telegram、Discord、SSH、AWS から認証情報とトークン、そして Exodus および Trezor などの暗号資産ウォレットを狙っています。エクスフィルトレーション先の目的地には、ハードコーディングされた YouTube チャンネル（"bubblegym"、2026 年 9 月 14 日作成）と GitHub gist が含まれ、追加のキーボードを壊したフォールバックキーも存在します。Torrent クライアントである Sonarr は、このファイルに適切なメタデータやフォルダ構造（例：.mkv の欠如）がないため、90 秒ごとにインポート試行が繰り返されることを悪用されます。qBittorrent はダウンロードを

total_downloaded: 0

「サウスパーク」を装った巨大なトロイの木馬：6 ステップのトリックと 5 分間の防御策

1. 発覚经过と攻撃の概要

警告のきっかけ
- ```
arr
```
  スタックのダッシュボードに、タイトルが「2026 年の今も、この詐欺を信じている人って誰なんだ?????」のエピソードキューが表示されました。
- これはトラッカー上にアップロードされた、人名「有人」が自作したエピソード名借用のファイル（末尾に
```
.exe
```
  を付加）です。
初回インポートの異常
- ```
qBittorrent
```
  はわずか 2 秒でダウンロード完了 (
```
finished
```
  ) と判断し、容量は
```
0
```
  です。
- ダウンロードされたのは単なる
```
exe
```
  ファイルだけであり、通常のような「偽の
```
.mkv
```
  」や「コーデックプログラム」ではありませんでした。
ファイルの実態
- 実際のプログラム部分はわずか 118 KB。
- 残り 886 MB は単なるゴミデータ（パディング）です。
- 目的：多くのスキャナやディスク容量の制限で解析されないようにするための欺瞞。

2. マルウェアの内部構造と暗号化手法

デッド・コードによる欺く処理
- XOR でグローバル変数を乱し、何もせずこれを何百回も繰り返しています。
- この唯一の目的は、ディスコンパイラ（反コンパイル）出力を無意味なゴミに見せかけ、分析を防ぐことでした。
6 ステップの単純な実行フロー
1. 自身を開く。
2. ファイル末尾 64 バイトを読み込む。
3. そのデータで隠されたペイロードを検出し復号化する。
4. メモリ上で PE（Portable Executable）として手動でマッピングする。
5. ```
PEB->ImageBaseAddress
```
  を指し示す。
6. 実行にジャンプする。
設定情報の格納場所
- ファイルの最後尾の 64 バイトに鍵や非対称な情報が埋め込まれており、暗号化アルゴリズムは
```
ChaCha20
```
  です。
脆弱性と回避不能な点
- 定数を隠そうとしたが、32 バイトの鍵 (
```
k
```
  ) は展開されてしまいました（隠蔽に失敗）。
- ```
flags = 3
```
  でアンチデバッグチェックをオンにしていましたが、サンドボックス環境での挙動から検知は困難です。
- しかし、鍵そのものがファイル内部にハードコーディングされているという点は論外であり、解析の余地を残しています。

3. ペイロードと標的データの詳細

生成された第 2 の PE ファイル (929 KB)
- MSVC で C++20 を使用し、
```
zlib
```
  がバンドルされています。
- 暗号化処理は Python の数十行で容易に剥がせます。
- 文字列はランタイム解決されており、独立した関数に割り当てられています。
- ```
sub_140080F40
```
  関数は AES ですが、S ボックスを RC4 で隠蔽しています（多重化された偽装）。
窃取対象となるデータリスト
- ブラウザ： Chrome, Edge, Brave, Opera, Vivaldi, Firefox（パスワード、クッキー、アプリバインディングなど）。
- 暗号資産ウォレット： Exodus, Electrum, Atomic, Guarda, Coinomi, Ledger Live, Trezor Suite など。
- パスワードマネージャー： KeePass, Bitwarden, 1Password, NordPass など。
- アカウント情報： Telegram/Discord トークン、Steam/Roblox クッキー、Minecraft アカウントなど。
- 開発者関連：
```
.ssh
```
  ,
```
.aws
```
  ,
```
.azure
```
  ,
```
gcloud
```
  ,
```
.kube
```
  ,
```
.docker
```
  などの設定ファイル。
- リモートアクセス： AnyDesk, TeamViewer, WinSCP など。
- その他： Outlook, Thunderbird 設定、OBS 設定、デスクトップ上のドキュメント、付箋まで対象にしています。

4. コマンド＆コントロール (C&C) サーバーの手法

サーバーアドレスの入手方法
- すべてのデータは
```
zlib
```
  で圧縮され、以下の経路で復号化されます：
  1. YouTube チャンネル名（"bubblegym"）
  2. GitHub Gist
  3. キーボード乱打パターンと XOR した値
- 驚くべきことに、取得したアドレスはバイナリ内部にもフォールバックとしてハードコーディングされています。
作成時期の疑念
- YouTube チャンネル登録：2026 年 9 月 14 日
- ゲームチャンネル作成：同日（ビルド用か）
- バイナリビルド：10 月 6 日
- トロッターへのアップロード：10 月 8 日

5. 感染リスクと防御策

高リスクな利用環境
- Sonarr/Radarr をパブリックインデクサーで使用している場合、感染する可能性が極めて高いです。
- ```
Sonarr
```
  は
```
.exe
```
  を実行できないため本体には被害が出ませんが、共有フォルダにあるファイルをダブルクリックする共同居住者やご自身（深夜に気づいて操作してしまったケース）がリスクになります。
5 分間で完結する防御設定

ツール対策内容

ツール	対策内容
qBittorrent	「除外されたファイル名」に以下を追加： `.exe` , `.scr` , `.lnk` , `.bat` , `*.cmd` これらを自動的にダウンロード拒否します。
Sonarr / Radarr	上記のファイル種別が検知されたら、直ちに「クライアントから削除する」設定にし、ブラックリストに登録してください。
Prowlarr	同様のゴミデータを配信し続けるトラッカーは、ランクを下げるか除外対象にしてください。

qBittorrent

「除外されたファイル名」に以下を追加：

*.exe

*.scr

*.lnk

*.bat

*.cmd

これらを自動的にダウンロード拒否します。

Sonarr / Radarr 上記のファイル種別が検知されたら、直ちに「クライアントから削除する」設定にし、ブラックリストに登録してください。

Prowlarr 同様のゴミデータを配信し続けるトラッカーは、ランクを下げるか除外対象にしてください。

6. 結論：作製者へのメッセージ

ChaCha20, AES-CTR、サンドボックス耐性スコアリングなど高度そうな技術を多用しましたが、結果は安っぽいスリッド系マルウェアに過ぎませんでした。
就職しましょう。

torrents サイトの誰かが私の Sonarr にずっと手をかけている