我在我的NAS上运行通常的*arr堆栈。它通常运行良好，直到我在仪表板上看到一个警告。新一集《南方公园》在队列中卡住了，显示：在2026年，谁真的会上当？？？让我非常清楚这是什么。有人拿了一集《南方公园》的名称，后面加上了.exe，然后把它上传到公共跟踪器，种子数为2392，??? 谁会把剧集做成EXE???? 而Sonarr抓取了它，因为它当然会。然后它每90秒就尝试导入一次：甚至没有一个假.mkv的文件夹，旁边放着一个"编解码器安装程序"，就像"好日子"一样。就只是那个exe而已。我们真的完蛋了吗。qBittorrent在添加后两秒内将其标记为"完成"，总下载量：0，所以实际上没有任何东西落在磁盘上。不知道为什么。不在乎。谢谢qBit。我在Sonarr中将其列入黑名单，这会将其从qBittorrent中删除并阻止它再次抓取相同的垃圾滑块恶意软件。然后我故意又下载了一次。因为现在我生气了，我想知道里面有什么。这是一个真正的PE，x64 GUI。实际程序是118 KB。其他886 MB是随机垃圾粘在后面。为什么？因为很多扫描程序在处理那么大的文件时会放弃。版本信息是："自由软件开发者。"我的屁股，我把118 KB拿掉扔进了IDA，因为我不想把一千兆的废话装进任何东西。然后整个东西被这个覆盖：XOR一个全局。再XOR回来。什么都不做。几百次。它存在的唯一目的是让反编译输出看起来像屎，恭喜。剥离掉这些，逻辑就像六个步骤：打开它自己的文件。读取最后64个字节。使用这些找到并解密隐藏在垃圾中的有效载荷。手动将其映射为内存中的PE。将PEB->ImageBaseAddress指向它。跳转进去。没有任何东西接触磁盘。为六个步骤添加所有这些混淆。文件的最后64字节是整个配置： 偏移量 尺寸 描述 0x00 32个字节密钥，与32个字节的掩码进行异或 0x20 12个字节ChaCha20 nonce 0x2C 4个字节有效载荷大小^fnv1a(mask) 0x30 4个字节(标志|填充<<8)^fnv1a(mask) 0x34 8个字节有效载荷大小^fnv1a(mask) 0x3C 4个字节fnv1a(mask) 它是ChaCha20。他们通过从全局变量中构建常量来隐藏常量，它们仍然展开为32字节k。你无法从见过ChaCha20的人那里隐藏ChaCha20。flags = 3开启了一个反调试检查（PEB->BeingDebugged，调试端口查询，通常的）和一个反沙盒分数。触发其中任一个它就会安静地退出。沙盒看到一个正常应用程序打开一个文件并离开。酷。然而密钥确实就在文件里。(????)你甚至不需要运行它：出来的是第二个PE。929 KB，MSVC，C++20，捆绑了zlib。所有这些反分析的废话，但是十几行Python可以直接剥离混淆。字符串是加密的，导入被缩减到CRT，一切在运行时解析。然后WinMain会以明文形式转储每个模块的名称：其他每个字符串都有自己的函数：两个常数异或成密钥、IV、密文、长度。sub_140080F40是AES，S-box隐藏在RC4后面，因为一层加密显然还不够尖锐。在第一个上尝试标准模式：AES-128-CTR。每个字符串密钥。672个调用点。我可不想手动做。所以我从IDA中提取每个调用点，在Unicorn中模拟每个调用前的几条指令，抓取密钥、IV和寄存器中的密文，并在Python中解密。672个中的601个是干净的。其余的埋在更大的函数中，但我真心不在乎，601个已经足够了。浏览器：Chrome、Edge、Brave、Opera、Opera GX、Vivaldi、Firefox。密码、cookies、自动填充，并且它也有Chrome的新应用绑定加密的代码。加密钱包：Exodus、Electrum、Atomic、Guarda、Coinomi、Ledger Live、Trezor Suite、Wasabi、Sparrow、Monero、Zcash、Armory，以及扩展钱包。密码管理器：KeePass、KeePassXC、Bitwarden、1Password、NordPass、RoboForm、Windows凭据管理器。账户：Telegram、Discord令牌、Steam、Roblox cookies、Minecraft账户、Authy。开发技能：.ssh、.aws、.azure、gcloud、.kube、.docker。远程访问：AnyDesk、TeamViewer、WinSCP、FileZilla、mRemoteNG、RDCMan。其余的：Outlook、Thunderbird、VPN配置、OBS设置、便签，以及你桌面上的文件。它甚至会抓取你的便签，干嘛？？？所有内容都用捆绑的zlib压缩并发送。不固定的服务器，而是解密：一个YouTube频道、一个GitHub gist、两个括号和一个明显是某人在猛击键盘的键。YouTube频道是"bubblegym"。创建于2026年9月14日：Base64解码，和键盘敲击异或，你得到地址：该确切地址在二进制中也作为后备硬编码？？？我想死信交付的整个重点是，你可以在不将地址硬编码在恶意软件中的前提下更换服务器。但是无论如何你还是把地址放在恶意软件中，那获取的意义是什么?