공개 토렌트에서 사우스파크 에피소드로 위장한 .exe 파일이 유포됐고, 한 NAS 운영자가 분석한 결과 정보탈취 악성코드가 숨겨져 있었다. Sonarr와 Radarr 이용자는 파일을 실행하지 말고, 토렌트 클라이언트에서 실행 파일 확장자를 제외하는 등 다운로드 설정을 점검해야 한다.

분석 대상 파일은 실제로 디스크에 내려받아지지 않았지만 qBittorrent에서는 완료로 표시됐다. Sonarr는 이를 가져오려다 90초 간격으로 실패를 반복했다. 운영자는 Sonarr에서 해당 파일을 차단 목록에 넣어 qBittorrent에서도 제거한 뒤, 내용을 확인하기 위해 파일을 다시 내려받았다.

파일 크기는 887MB였지만 실제 실행 파일은 118KB였다. 나머지 용량은 파일 끝에 덧붙인 무작위 데이터였으며, 분석자는 대용량 파일을 처리하지 않는 보안 검사기를 피하려는 목적일 수 있다고 설명했다. 분석 과정에서 실행 파일은 덧붙은 데이터에 숨긴 페이로드를 복호화해 메모리에 올리고 실행하는 구조로 파악됐다. 디버깅이나 샌드박스 환경을 감지하면 조용히 종료하는 기능도 있었다.

분석자는 두 번째 페이로드에서 브라우저의 비밀번호·쿠키·자동완성 정보, 암호화폐 지갑, 비밀번호 관리자, 메신저와 게임 계정, 개발자 인증 정보, 원격 접속 프로그램 설정 등을 훔치는 기능을 확인했다고 밝혔다. 바탕 화면 문서와 윈도우 스티키 노트도 수집 대상에 포함됐으며, 수집한 정보는 압축해 외부로 전송하는 방식이었다.

악성코드는 유튜브 채널과 GitHub gist를 이용해 서버 주소를 가져오려 했지만, 분석자는 같은 주소가 실행 파일 안에도 기본값으로 들어 있었다고 밝혔다. 도메인 등록일은 2026년 9월 14일이며, 토렌트에 올라온 날짜는 10월 8일이라고 원문은 전한다. 관련 주소는 GitHub gist다.

Sonarr가 .exe를 실행하는 것은 아니므로, 위험은 다운로드한 파일을 사람이 직접 실행할 때 발생한다. 원문은 다음과 같이 설정할 것을 권한다.

  • qBittorrent의 ‘Excluded file names’에 *.exe, *.scr, *.lnk, *.bat, *.cmd를 추가해 해당 파일을 내려받지 않도록 한다.
  • Sonarr나 Radarr에서 의심 파일을 발견하면 클라이언트에서도 제거하도록 차단 목록 설정을 확인한다.
  • 특정 트래커에서 이런 파일이 반복해서 제공되면 Prowlarr에서 해당 트래커의 우선순위를 낮추거나 제외한다.

원문은 특히 공개 인덱서를 사용하는 Sonarr·Radarr 이용자에게 이 파일이 나타날 수 있다고 경고한다. 토렌트로 받은 실행 파일을 확인 없이 열지 않는 것이 핵심이다.