"2026년에 동영상에 .exe 붙여 낚시를?"… 토렌트 악성코드 직접 뜯어본 개발자 후기

요약 NAS에서 Sonarr를 통해 애니메이션 '사우스 파크' 최신 에피소드를 자동으로 다운로드받으려던 한 개발자가 황당한 악성코드 유포 수법을 발견하고 이를 직접 역공학(리버스 엔지니어링)으로 뜯어본 후기를 공개했습니다. 대시보드에 오류가 떠서 확인해 보니, 다운로드 대기열에 들어온 파일은 동영상 포맷이 아니라 파일명 끝에 '.exe'가 붙은 실행 파일이었습니다. 심지어 공개 트래커에 시더(배포자) 2,300여 명이나 붙어 있는 상태로 유포되고 있었습니다. qBittorrent가 다운로드 크기 0으로 곧바로 완료 처리해 실제 디스크에 저장되진 않았지만, 2026년에 아직도 동영상 이름 뒤에 exe만 붙여서 낚시질을 하는 수법에 분노한 작성자는 정체를 밝혀내기 위해 파일을 직접 다시 받아 분석하기 시작했습니다. 파일 크기는 약 887MB에 달했지만, 실제 PE 실행 파일 크기는 고작 118KB에 불과했습니다. 백신 검사기들이 용량이 너무 큰 파일은 검사를 건너뛰거나 포기한다는 점을 노려 나머지 886MB에 달하는 쓰레기 데이터를 뒤에 덧붙여 둔 것이었습니다. 분석 툴(IDA)을 켜자 디컴파일러 출력을 난독화하기 위한 수백 번의 무의미한 XOR 연산이 채워져 있었지만, 핵심 흐름은 자신의 파일 끝 64바이트에서 키를 읽어 ChaCha20으로 숨겨진 페이로드를 복호화한 뒤 메모리에 올려 바로 실행하는 6단계 로직이었습니다. 작성자가 파이썬 코드로 껍데기를 벗겨내자 약 929KB 크기의 전형적인 정보 탈취형 악성코드(인포스틸러) 본체가 드러났습니다. 문자열마다 AES-128-CTR과 RC4 등을 꼬아 암호화해 두었으나 유니콘 엔진으로 에뮬레이션해 키와 암호문을 추출해 낸 결과, 끔찍할 정도로 방대한 개인정보를 쓸어 담도록 설계되어 있었습니다. 크롬·엣지·파이어폭스 등 각종 브라우저의 저장된 비밀번호와 쿠키는 물론, 엑소더스·일렉트럼 등 암호화폐 지갑, 1Password·비트워든 등 비밀번호 관리자, 스팀·디스코드·텔레그램 토큰, 개발용 SSH 및 클라우드(AWS, Azure, GCP, 쿠버네티스) 설정, 심지어 윈도우 스티커 메모(Sticky Notes)까지 모조리 압축해 외부로 탈취하려던 것이 밝혀졌습니다. 작성자는 "동영상 exe 낚시라는 조잡한 미끼 뒤에 온갖 계정 탈취기가 다 숨어 있었다"며 황당함을 전했습니다.