요약
사우스 파크 에피소드로 위장한 정보 탈취 악성코드가 토렌트에 퍼져 Sonarr까지 걸려들었습니다.
NAS에서 Sonarr·qBittorrent·Prowlarr로 자동 다운로드 환경을 꾸려 쓰는 블로거 Thereallo의 글입니다. Sonarr가 영상 대신 실행 파일을 자꾸 받아 오자, 일부러 그 파일을 내려받아 역분석했습니다.
왜 중요한가
- 시더(파일을 나눠 주는 사람)가 2천 명이 넘는 인기 토렌트도 악성코드일 수 있다는 사례입니다.
- 저자는 위험한 것이 Sonarr가 아니라 다운로드 폴더의 exe를 사람이 직접 실행하는 순간이라고 짚었습니다.
- 한 번 실행하면 브라우저 비밀번호와 암호화폐 지갑, SSH·AWS 키까지 한꺼번에 빠져나갑니다.
핵심 내용
- 파일은 실제 코드 118KB 뒤에 약 886MB의 쓰레기 데이터를 붙인 64비트 윈도 실행 파일이었습니다.
- 로더는 파일 끝 64바이트의 키로 숨긴 본체를 ChaCha20(스트림 암호)으로 풀어 디스크에 쓰지 않고 메모리에서 실행했습니다.
- 키가 파일 안에 있어서 저자는 악성코드를 실행하지 않고 Python 스크립트로 본체를 꺼냈습니다.
- 본체는 브라우저 7종, KeePass·Bitwarden, Discord 토큰, Sticky Notes까지 노리는 정보 탈취 프로그램이었습니다.
- 저자는 qBittorrent의 제외할 파일 이름에 *.exe 등을 넣고, 차단할 때 클라이언트에서도 지우라고 권했습니다.
HN 반응
- 윈도가 파일 확장자를 기본으로 숨겨 exe를 영상으로 착각하게 만든다는 비판이 먼저 나왔고, 윈도 95 때부터 그랬다는 보충이 붙었습니다.
- 사설 트래커로 옮기라는 조언이 많았지만, 업로드 비율을 맞추기 힘들고 일반 트래커와 유즈넷에서도 같은 exe를 받았다는 반론이 나왔습니다.
윈도가 파일 확장자를 기본으로 숨겨 놓은 덕에 범죄자들이 아주 편해졌네요. 마이크로소프트에 감사라도 해야겠어요.
요즘은 윈도를 거의 안 쓰는데, 쓸 때 제일 먼저 바꾸는 설정이 그겁니다. 안타깝게도 macOS도 기본값으로는 확장자를 상당수 숨깁니다.
요즘 사용자들은 대부분 파일 확장자가 뭔지도 모릅니다.
요즘 세대는 파일과 폴더 개념도, 심지어 검색 엔진 쓰는 법도 모른다는 무서운 이야기를 들은 적이 있어요.
윈도 7부터 확장자를 숨겨 온 것도 한몫하죠.
음, 기억이 맞다면 그보다 훨씬 오래됐을걸요.
아뇨. 95까지 올라가야 해요.
https://nunzioweb.com/misc/show_file_extensions.htm
윈도 서버 빌드에서도 기본으로 켜져 있어요. :|
Sonarr에는 "Settings > Indexers > [사용 중인 인덱서] > Fail Downloads"라는 고급 설정이 있습니다. 여기에 "Executables"를 추가하세요. 그러면 이런 다운로드는 자동으로 실패/블랙리스트로 처리되고, 직접 손대지 않아도 새로 검색해서 다시 받습니다. qbit 쪽에서 충돌하는 설정도 조정해야 할 수 있습니다.
다른 방법으로, qbit이 실행 파일을 감지해 다운로드를 거부할 때 그 다운로드를 직접 "Failed"로 표시하게 할 수 있다면 그것도 통할 겁니다. 저는 qbit을 안 써서 그런 설정이 가능한지는 모르겠습니다.
저는 아직도 이거 기다리고 있어요. https://github.com/Prowlarr/Prowlarr/issues/2329
나중에 새로 설치하는 사람들에게는 좋겠지만, 지금 "기다릴" 일은 아니라고 봅니다. 저는 Prowlarr에 인덱서를 30개쯤 설정해 뒀지만, Sonarr/Radarr에 들어가서 실제로 쓰는 인덱서마다 실행 파일 차단 설정만 바꿔 주면 1분 정도면 끝나고, 한 번 바꾸면 되돌아가지도 않습니다.
인덱서가 30개라고요!? 저는 2개뿐인데 한참 뒤처졌네요. :-)
그중에 특화된 곳이 많은가요? 아니면 그냥 중복인 경우가 많은가요?
비공개 트래커 가입이 어려운 건 마이너한 곳에 들어가려고 할 때뿐이고, 비교적 최신이고 인기 있는 영화를 보려는 거라면 그럴 필요가 전혀 없습니다.
괜찮은 종합 트래커 하나만 가입하면 이런 문제는 정말 다시는 겪지 않을 겁니다. 시더(seeder)도 더 많고 태그도 제대로 붙어 있어서, "4k"로 받았는데 480p인 일도 없어지고요.
아니요. 저는 종합 트래커만 쓰는 가벼운 arr 스택 사용자인데, 어제 에피소드 두 개가 exe였어요.
토렌트 사이트만의 문제가 아니에요. UseNetCrawler에서도 이런 일이 벌어지고 있어요.
이번 사태는 토렌트 호스팅 사이트인 ITorrent가 해킹당한 일과 관련이 있어 보입니다. 거기서 아주 비슷한 악성코드를 뿌렸거든요. https://threatcluster.io/cluster/itorrentsorg-compromised-to-distribute-moviereaper-malware-382d6905
한동안 그 사이트에서 받은 토렌트가 전부 단순한 exe 하나짜리 토렌트로 바뀌어 있었습니다. 폴더 아이콘으로 위장했고, 진짜 토렌트처럼 보이려고 800MB 분량의 패딩까지 넣었습니다.
비공개 트래커에 가입하기 귀찮다면, 최소한 TRaSH 가이드로 품질 프로필(quality profile)이라도 설정하세요.
https://trash-guides.info/
가입이라니, 어떻게요? 그리고 무슨 득이 있죠? 제가 들어 본 비공개 트래커는 가입을 받지 않거나 돈을 내야 하던데요(ㅋㅋ). 제가 알기로는 공유율(ratio)도 관리하고, 새로 올라온 파일에서 점수를 따려고 시더들이 경쟁한다던데요. 2026년판 90년대 워레즈 쿠리어 씬이잖아요. 어딘가에 주간 최고, 사이트 최고 기록 순위표도 있을 것 같네요. 저는 그런 거 하기엔 너무 늙었어요.
평범한 사용자라면 Torrentleech 하나로 필요한 거의 전부를 해결할 수 있습니다. 가입비는 몇 달러(1회성이고 VPN 1개월 무료 제공)이고, 아니면 r/opensignups에 가입해서 가입 접수가 열리기를 기다리면 됩니다(보통 1년에 한 번 열립니다).
트래커를 하기엔 너무 늙었다면 유즈넷에 가입하세요. 대신 돈은 내야 합니다.
TV 프로그램, 음악, 영화를 받으려는 사용자 99%에게는 The Pirate Bay면 충분합니다. 희귀한 자료나 오래된 자료를 찾는 게 아니라면 왜 비공개 트래커나 유즈넷에 돈을 내는지 모르겠어요.
솔직히 90년대 문화가 부활한 게 아니라, 비공개 트래커는 원래 계속 그랬어요. 2000년대에도 똑같았고요.
여기 우크라이나 분들이 계신지 모르겠지만, 저는 우크라이나군(AFU)에 기부하는 대가로 어딘가에서 계정을 받았던 기억이 나요. 은행 앱에서 결제를 확인하는 스크린샷만 가입 신청서와 함께 보내면 며칠 안에 가입이 됩니다. 그 트래커에는 괜찮은 영어 원본도 꽤 있었고, 거기 있는 친구 말로는 경험이 아주 좋다는데, 외국인은 구글 번역이든 뭐든 켜고 쓰길 권한다고 하더군요.
요점은, 어떤 트래커는 그런 일회성 결제조차 자기들 몫으로 받지 않으면서도, 다른 곳에 매달 열 배를 내야 받을 만한 수준의 서비스를 제공한다는 겁니다.
저는 비공개 트래커에 가입하기 귀찮은 게 아니라, 그걸 쓰는 데 필요한 활동을 유지하기가 귀찮은 거예요. 사실상 커뮤니티의 일원이 되겠다고 서명하는 셈이니까요. 대개 공유율로 강제하는데, 그 공유율이라는 게 계속 업로드하거나 공유할 자료를 공유율에 맞게 골라서 올려야 채워지도록 짜여 있는 경우가 많아요. 원하는 콘텐츠가 인기 있는 거라면 그걸로는 공유율을 쌓을 수가 없어요.
비공개 트래커를 하는 가장 좋은 방법은 받은 건 전부, 항상 시딩하는 거라고 생각합니다. 롱테일 자료를 충분히 시딩하면 공유율을 쌓기가 쉬워져요. 몇 년 전에 인기가 정점을 찍은 쇼(시더 대부분이 떠난 뒤)를 새로 보려는 사람들에게도 도움이 되고요. 공개 트래커에서는 그런 쇼 받기가 더 어려울 수 있거든요.
좋은 생각이에요. 인기가 아니라 시간 면에서 롱테일을 시딩하는 셈이네요. 저한테는 아마 그게 최선일 텐데, 그래도 다른 종류의 투자가 필요합니다. 저장 공간도 더 많이 필요하고, 그걸 항상 켜 두어야 하니까요.
제 환경은 조용하고 전력을 적게 쓰도록 맞춰져 있어서, 대용량 HDD 저장소는 대부분 스핀다운(회전 정지) 상태로 둡니다. 롱테일 데이터를 많이 시딩하려면 디스크 접근이 훨씬 늘어날 거예요.
문제를 해결하는 것보다 온라인에서 불평하고 논쟁하는 데 더 관심이 있으신 것 같네요.
저는 3년 전에 비공개 트래커에 처음 가입했고, 지금은 ptp, btn 등 거의 다 가입했습니다. 공유율은 걱정할 필요가 없습니다(cross-seed를 설정해 두면 알아서 돌아갑니다). 시간이 좀 지나면 평생 쓰고도 남을 만큼 "업로드"와 "공유율"이 쌓입니다. 이제는 시딩할 필요도 거의 없고요. 가끔 로그인할 뿐 커뮤니티 활동도 따로 안 해도 되고, 자료는 정말 훌륭합니다(1940년대 멕시코 B급 영화까지, 취향대로 뭐든 다 있어요). 다운로드할 때는 제 광랜 속도를 꽉 채워 줍니다.
그래도 계속 불평하고 논쟁하세요. 기분은 좀 나아질 테니까요.
저도 윗분(GP)과 경험이 같습니다. 비공개 트래커에 가입할 때마다 결국 활동이 부족하거나 공유율이 낮다는 이유로 쫓겨났어요. 받은 건 시딩하려고 했는데, 대개 제 쪽에서 받아 가려는 사람이 없는 것 같았습니다.
이 사이트에 *.nix 번역본은 없나요?
모니터 옆에 붙여 둔 스티커 메모는 농담이 아니에요. 이렇게 하면 암호화폐 복구 키 같은 것도 건질 수 있을 것 같네요.
사우스 파크만이 아니라 모든 게 그런 exe로 도배됐습니다. 대부분의 공개 트래커에서 시딩 중인 TV 에피소드 거의 전부가 그 exe였습니다(지금도 그럴까요?). 누가 이 공격을 벌였는지 궁금하네요.