# 인기 애니메이션 동영상을 다운로드하려다가 내용물이 악성코드였던 사례

> https://bookfactory.kr/board/news/22559
> 게시판: 뉴스
> 작성자: tachikoma43
> 작성일: 2026-10-18T23:11:36.439Z

---

소나르 사용자에게 발생한 트렌드 사이트에 업로드된 실행 파일(.exe) 형태의 멀웨어 사례를 통해 발견 경위, 상세 기술 분석, 권장되는 조치에 대해 설명했습니다. 트렌드 사이트에서 개인용 비디오 녹화기 “소나르”를 운영하던 웹 개발자 겸 디자이너인 Thereallo 氏로부터 NAS 상에서 운영 중인 “소나르”로부터 경고를 받았습니다. 구체적으로, 인기 애니메이션 “사우스파크”의 최신 에피소드를 위장한 파일이 트렌드 사이트에 업로드되어 소나르가 이를 다운로드하려고 시도할 때 문제가 발생했습니다. 해당 파일은 에피소드 이름 변형을 사용한 파일 이름에 ".exe" 확장자가 붙어 있으며, 다수의 시드(seed)가 포함된 공용 트래커에 게시되었습니다. 소나르는 문제의 파일을 일반 미디어 파일로 오인하여 임포트(import)를 시도했으나 실패했으며, 이후 약 90초마다 임포트 시도를 계속하며 시스템 리소스를 낭비하는 행동을 보였습니다.

어려운 로직을 모두 제거하고 악성코드의 실제 동작 로직만 적용한 결과, 다음과 같은 6단계로 집약되었습니다. 전체 프로세스는 디스크에 전혀 영향을 주지 않고, 모든 것이 메모리 상에서 실행되는 것으로 확인되었습니다. 1. 자신을 파일로 열기 2. 파일의 마지막 64바이트를 읽기 3. 읽어 들인 데이터를 사용하여, 낭잔 데이터 안에 숨겨진 페이로드를 찾아서 해독하기 4. PE(Portable Executable) 파일을 메모리 상에 수동으로 매핑하기 5. PEB(Process Environment Block) 구조체의 ImageBaseAddress(실행 가능한 파일의 기본 주소) 필드를, 메모리 상에 펼쳐 놓은 페이로드의 기본 주소에 쓰기 6. 페이로드를 실행하는 것으로, 악성코드의 본체는 “마지막 64바이트” 안에 있다는 것을 알 수 있습니다.

취득한 암호화 주소는 Base64 디코딩과 키보드 덤핑과 같은 문자열과의 XOR 연산으로 복호화됩니다. b = base64.b64decode("OA0dDQ0HFBQHJyIHEkkQCAlJLS0JTgwAAB8S")
k = b"ZhxchsdfhSGdfgsgdfAJsakdaksdk2364236AH"
bytes(x ^ k[i % len(k)] for i, x in enumerate(b)) 멀웨어의 확산 방지 및 피해 최소화를 위해 Thereallo 氏は 다음 조치를 권장합니다.
• qBittorrent: 설정의 “제외 파일명”에 “*.exe *.scr *.lnk *.bat *.cmd”를 추가하여 실행 파일 다운로드를 차단합니다.
• Sonarr/Radarr: 실행 파일(*.exe)이 감지된 경우 “클라이언트에서 삭제” 기능을 사용하여 차단 목록에 추가합니다.
• Prowlarr: 악의적인 파일 제공 트래커는 평점을 하락시키거나 완전히 삭제하는 것을 고려합니다.
마지막으로 Thereallo 氏は 고도의 기술력을 가진 멀웨어 개발자에게 부실한 멀웨어 개발에 기술을 낭비하는 대신 정규 직업을 찾을 것을 권고합니다. Google 우선 소스에 설정 Clipboard 기사 제목과 URL을 복사 X Facebook Bluesky Discord Threads

악성코드 확산 방지 및 피해 최소화를 위해, 레알로 대표는 다음 조치를 권장합니다. 

악성코드 확산 방지를 위해, 다음 조치를 권장합니다.

*   확산 (hwak-san): spread, dissemination
*   방지 (bang-ji): prevention, control
*   피해 (pihae): damage, harm
*   최소화 (choe-so-hwa): minimization
*   위해 (wi-hae): in order to, for the purpose of
*   레알로 (Reallo): Realo (company name)
*   대표 (dae-bu): representative, CEO
*   권장 (gwon-jang): recommend, suggest

*   qBittorrent: 설정의 “제외 파일명”에 “*.exe, *.scr, *.lnk, *.bat, *.cmd”를 추가하여 실행 파일 다운로드를 차단합니다.
*   Sonarr/Radarr: 실행 파일(*.exe)이 감지된 경우 “클라이언트에서 삭제” 기능을 사용하여 차단 목록에 추가합니다.
*   Prowlarr: 악의적인 파일을 제공하는 트래커는 평점을 낮추거나 완전히 삭제하는 것을 고려합니다.

마지막으로, 해당 氏에게 고급 기술력을 가진 악성코드 개발자에게 엉성한 악성코드 개발에 기술을 낭비하는 대신 정당한 직업을 찾을 것을 권고합니다.

[원문 보기](https://gigazine.net/news/20261019-torrent-sites-malware/) | 출처: Gigazine