伪造BT种子反向入侵Sonarr
推荐指数 53.0 NO. 020 · 2026.10.16
发布2026/10/15Score67Comments24
为什么值得看
攻击者在 torrent 站点上传恶意命名种子，利用 Sonarr 的自动抓取机制诱导下载，实为针对媒体管理系统的供应链投毒。这类攻击门槛低、隐蔽性强，跑自动化下载工具的团队需要重新评估信任边界。
编辑判断
这类攻击的巧妙之处在于完全不需要入侵目标系统，而是利用自动化工具的信任链反向渗透。Sonarr、Radarr、Lidarr 这类工具默认信任索引站点的元数据，而索引站点对上传内容几乎没有验证。
类似思路可以迁移到任何自动拉取外部资源的场景：CI/CD 依赖自动更新、Docker 镜像自动同步、模型权重自动下载。如果你在用 renovate/dependabot 自动合并依赖更新，或者从 HuggingFace 自动拉取最新模型，这条攻击链值得对照检查。
短期防护建议：给自动化工具加校验层（hash 白名单、延迟发布、沙箱预检），而不是直接信任上游索引。
社区反馈
意见分歧 25 条评论
核心争论：供应链投毒风险下，用户应靠黑名单过滤还是迁移私有 tracker/usenet
Tell your downloader (in my case qbittorrent) to not download .exe, .scr, .zip, etc, etc, etc. It’s been this way for years. You do have to clean out qbittorrent every few days so that sonarr will search again, so that’s a pain. But hey, I’m pirating media. Someone trying to scam me at the same time
Yeah, this whole post felt like some weird deja vu from 25 years ago on a web forum. "Bastards are putting malware exe's on file sharing, wtf??"
Join a private tracker and never think about it again