MovieReaper se širi preko torrenta filma „Odiseja“

Opisi virusa, 24.09.2026, 10:00 AM

Istraživači kompanije Kaspersky otkrili su novu kampanju u kojoj se malver MovieReaper širi preko kompromitovanog repozitorijuma torrent fajlova. Među mamcima je bio i film „Odiseja“, a jedan od zlonamernih fajlova imao je naziv koji je sugerisao da je reč o njegovoj kopiji u 1080p rezoluciji. Kaspersky je do sada identifikovao nekoliko stotina žrtava, među kojima su pojedinačni korisnici i organizacije iz više zemalja Evrope, Azije i Afrike.

Kampanja je otkrivena sredinom avgusta, a napadači su za širenje malvera iskoristili itorrents.org, javni repozitorijum torrent fajlova koji koriste različiti torrent trackeri.

To znači da napadači nisu samo postavljali zlonamerne torrente na pojedinačne sajtove. Kompromitovanjem repozitorijuma koji se nalazi u pozadini mogli su da utiču na torrente koje korisnici dobijaju preko trackera koji se na njega oslanjaju. Kada bi korisnik pokušao da preuzme sadržaj preko magnet linka, kompromitovani repozitorijum mogao je da mu vrati zlonamerni torrent fajl koji je vodio do MovieReapera.

Jedan od fajlova koje je Kaspersky pronašao nosio je naziv the odyssey (2026) (1080p) (webrip) (5.1).exe. Ekstenzija .exe jasno pokazuje da nije reč o video fajlu, već o programu koji će Windows pokrenuti ako korisnik klikne na njega.

Kada se pokrene, MovieReaper najpre proverava da li se na računaru nalaze bezbednosni alati i da li se izvršava u okruženju za analizu malvera. Zatim kontaktira prvi komandni server i pokreće sledeću fazu napada.

U sledećoj fazi MovieReaper koristi neobičan način da pronađe ostatak infrastrukture napadača - Solana blockchain.

Umesto da adresa narednog komandnog servera bude upisana u malver, MovieReaper je preuzima preko Solane. Napadači tako mogu da promene server sa kojim će zaraženi računari komunicirati bez izmene samog malvera. Korišćenje blockchaina istovremeno otežava blokiranje infrastrukture klasičnim gašenjem domena ili servera.

Nakon toga MovieReaper pokušava da zaobiđe Windowsovu User Account Control (UAC) zaštitu i obezbedi da ostane aktivan i nakon ponovnog pokretanja računara. Njegova modularna struktura omogućava preuzimanje dodatnih komponenti u zavisnosti od toga šta napadači žele da rade na zaraženom uređaju.

Jedna od završnih komponenti je menadžer fajlova sa 21 različitom komandom. Napadači preko njega mogu da pregledaju, preuzimaju, postavljaju, kopiraju, preimenuju, premeštaju i brišu fajlove na zaraženom računaru, kao i da dobijaju prikaze fajlova i fotografija.

Kaspersky je infekcije pronašao kod pojedinačnih korisnika i organizacija u nekoliko zemalja širom sveta. Među pogođenim organizacijama su državne institucije i kompanije iz IT sektora, trgovine, transporta, poljoprivrede i konsaltinga.

Istraživači su pronašli tragove povezane aktivnosti još iz oktobra 2025. godine, što pokazuje da se MovieReaper razvija već duže vreme. Tokom tog perioda napadači su menjali loader i druge komponente kako bi otežali njegovo otkrivanje.

Uprkos složenoj infrastrukturi i korišćenju blockchaina, početak napada je mnogo jednostavniji: korisnik mora da pokrene zlonamerni program koji je dobio uz torrent. Naziv fajla može da sugeriše da je reč o filmu, ali njegova ekstenzija otkriva problem - filmovi dolaze u formatima kao što su .mp4 i .mkv, a ne kao .exe fajlovi.