PUA:Win32/QBitTorrent

PUA:Win32/QBitTorrent

 

PUA:Win32/QBitTorrent 이건 뭐지?

 

qBittorrent를 실행하니 "업데이트"가 있다는 팝업이 떠서, 다운로드하기를 눌렀습니다. 갑자기 Chrome에서 바이러스를 인식하고 자동으로 다운로드를 차단하더군요.

해당 프로그램에 대한 믿음이 있었기에 다운로드를 진행했는데, 다운로드가 완료되자마자 Windows Defender에서 해당 프로그램을 바이러스로 차단을 했습니다.

PUA:Win32/QBitTorrent 라고 잡혔습니다. 뭐지???? 이건!!!

 

qBittorrent Windows Defender 차단

 

Windows Defender

 

Virus 카테고리가 PUA네요. 프로그램에 사용자 동의 없이 수행되는 동작이 포함되어 있을 수도 있습니다.... 뭐지? 광고 같은 프로그램이 자동으로 설치되나? 영향을 받는 항목에 보면 pid, ProcessStart 뭐 이런 항목도 보이네요. 

Windows Defender에서 다운로드 받은 파일을 자동으로 삭제한 후 6시간 정도 잊고 있었습니다. 그리고 다시 Qbittorrent로 검색하여 최신 파일을 다운로드 받았는데, 이번에는 크롬 브라우저에서 정상적으로 다운로드되고 Windows Defender에서도 바이러스로 검색이 안되네요....정말 수상합니다.

 

PUA:Win32/QBitTorrent - Windows Defender Event Log

 

Windows Defender Event log

 

Windows defender에 나오는 내용보다 이벤트 로그에 더 많은 정보가 나와있을 것 같아서 확인해 봤습니다. badurl= 뒤쪽으로 이상한 strings가 계속되는데, 아무래도 base64 encoded string 같이 보입니다. 그래서 해당 문자열을 kali linux에서 base64로 decode 해봤습니다.

 

base64 decode

 

base 64 decode

 

fosshub.com/qBittorrent.html 뒤쪽으로 문자열이 깨져서 보이네요. 폰트 문제인가 싶어서 CyberChef에 방문해서 다시 해당 문자열을 decode 해봤습니다.

 

base 64 decode

 

여전히 이상한 문자열이 뒤쪽에 계속 보이는데, 특별히 다른 site에서 다운로드하지는 않고 fosshub.com에서 배포되는 것으로 보입니다.

 

base64 decode

 

 

Kali에서 qBittorrent 사용

 

다운로드 된 qBittorrent 실행파일을 Virustotal에 upload해서 분석을 해봤는데, 1종류 engine에서 바이러스로 검색이되고 나머지 Anti-Virus Engine에서는 검색이 안되더군요.

False detection으로 판단됩니다. 하지만 이제는 이런 번거로움도 싫어져서 윈도우 운영체제에서 qBittorrent를 삭제하고 Kali Linux에 qbittorrent를 설치했습니다.

(Windows Defender가 삭제한 파일은 아니고 약 6시간 뒤 다운로드한 파일로 검사해서 약간의 의문점은 남아있습니다. 이 찝찝한 기분...)

 

Kali Linux

 

설치명령어 sudo apt install qbittorrent

linux에서는 패키지의 update 및 upgrade 모두 sudo apt update && sudo apt upgrade -y 한 줄로 가능하기 때문에  윈도처럼 수동 업데이트 및 Windows defender로 점검하고, 다시 Virus Total에 업로드해서 분석해야 하는 번거로운 작업을 피할 수 있습니다.

 

qBittorrent linux

 

WSL2에 설치된 Kali Linux 환경임에도 불구하고 다운로드 시 Max. Speed가 정상적으로 유지됩니다.

 

qBittorrent linux