Поддельный торрент-файл «Одна битва за другой» скрывает вредоносное ПО в субтитрах.

[zender]

Поддельный торрент-файл фильма Леонардо Ди Каприо «Одна битва за другой» скрывает вредоносные загрузчики PowerShell внутри файлов субтитров, которые в конечном итоге заражают устройства вредоносной программой Agent Tesla RAT.


Вредоносный торрент-файл был обнаружен исследователями Bitdefender в ходе расследования всплеска обнаружений, связанных с этим фильмом.


«Одна битва за другой» — высоко оцененный фильм Пола Томаса Андерсона, вышедший 26 сентября 2025 года, в главных ролях Леонардо Ди Каприо, Шон Пенн и Бенисио дель Торо.

Использование киберпреступниками интереса к новым фильмам путем загрузки вредоносных торрентов — не новость, но, как отмечает Bitdefender, этот случай выделяется своей необычайно сложной и скрытой цепочкой заражения.


«Невозможно оценить, сколько людей скачали файлы, но мы обнаружили, что у предполагаемого фильма были тысячи сидеров и личеров», — пояснили в Bitdefender .

Запуск вредоносного ПО из субтитров​

Загруженный торрент-файл фильма «One Battle After Another», использованный в атаках, содержит различные файлы, включая видеофайл (One Battle After Another.m2ts), два файла изображений (Photo.jpg, Cover.jpg), файл субтитров (Part2.subtitles.srt) и файл ярлыка (CD.lnk), который отображается как заставка для запуска фильма.


При запуске ярлыка CD запускаются команды Windows, которые извлекают и выполняют вредоносный скрипт PowerShell, встроенный в файл субтитров между строками 100 и 103.

В субтитрах скрыт вредоносный скрипт PowerShell.

Затем этот скрипт PowerShell извлечет множество зашифрованных с помощью AES блоков данных из файла субтитров, чтобы восстановить пять скриптов PowerShell, которые будут помещены в папку 'C:\Users\<USER>\AppData\Local\Microsoft\Diagnostics'.

Другие зашифрованные команды PowerShell указаны в субтитрах.
Источник: BleepingComputer

Извлеченные скрипты PowerShell действуют как загрузчик вредоносного ПО, выполняя следующие действия на хосте:

• Этап 1 – Извлекает файл One Battle After Another.m2ts в виде архива с помощью любой доступной программы для извлечения файлов.
• Этап 2 – Создает скрытую запланированную задачу (RealtekDiagnostics), которая запускает файл RealtekCodec.bat.
• Этап 3 – Декодирует встроенные двоичные данные из файла Photo.jpg и записывает восстановленные файлы в каталог кэша диагностики звука Windows.
• Этап 4 – Убедитесь, что папка %LOCALAPPDATA%\Packages\Microsoft.WindowsSoundDiagnostics\Cache существует.
• Этап 5 – Извлечение содержимого файла Cover.jpg в каталог Cache, включая пакетные файлы и сценарии PowerShell.

Извлеченные на заключительном этапе файлы используются для проверки активности Windows Defender, установки Go, извлечения финальной полезной нагрузки (AgentTesla) и ее прямой загрузки в память.


AgentTesla — это давно существующая (с 2014 года) программа для перехвата чужой информации (RAT) в Windows, обычно используемая для кражи учетных данных браузера, электронной почты, FTP и VPN, а также для создания скриншотов.

Хотя Agent Tesla не является новым продуктом, он по-прежнему широко используется благодаря своей надежности и простоте применения.


Компания Bitdefender отметила, что в других фильмах, например, в «Миссия: Невыполнима – Финальная расплата», использовались и другие семейства персонажей, такие как «Похитители Луммы».


Торрент-файлы от анонимных издателей часто содержат вредоносное ПО, поэтому в целях безопасности рекомендуется полностью избегать пиратского скачивания новых фильмов.