Kaspersky opisał nową kampanię malware nazwaną MovieReaper, która wykorzystuje torrenty z filmami jako przynętę. Zamiast oczekiwanego pliku wideo użytkownik może pobrać program wykonywalny dla Windows. Po jego uruchomieniu rozpoczyna się wieloetapowa infekcja, której celem jest przejęcie dostępu do komputera i danych.
Najważniejsza lekcja z tej kampanii jest prosta: film nie powinien uruchamiać się jako plik EXE, a prośba o wyłączenie antywirusa przed otwarciem pobranego materiału powinna być traktowana jako poważny sygnał ostrzegawczy.
Z tego artykułu dowiesz się:
- jak działa MovieReaper,
- dlaczego złośliwy plik może wyglądać jak film,
- po co przestępcy wykorzystują długie nazwy plików i znane ikony,
- dlaczego wyłączanie antywirusa przy instalacji cracków i pirackiego oprogramowania jest szczególnie ryzykowne,
- co zrobić, jeśli podejrzany plik EXE został już uruchomiony.
MovieReaper rozprzestrzenia się przez torrenty z filmami
Badacze Kaspersky GReAT opisali MovieReaper 17 września 2026 r. Według ich analizy kampania wykorzystuje infrastrukturę związaną z dystrybucją plików torrent. Złośliwe torrenty były przedstawiane jako popularne filmy, a pobierany plik miał przekonać użytkownika, że otrzymuje oczekiwany materiał.
Kaspersky zidentyfikował kilkaset ofiar w wielu krajach. Badacze znaleźli również aktywność powiązanego operatora sięgającą października 2025 r., co sugeruje, że kampania była rozwijana przez dłuższy czas i stopniowo rozbudowywana.
Nie oznacza to oczywiście, że każdy torrent albo każdy tracker jest zainfekowany. Problem polega na tym, że użytkownik pobierający plik z niezweryfikowanego źródła może bardzo łatwo pomylić fałszywy materiał z prawdziwym filmem, szczególnie jeśli system ukrywa rozszerzenia plików.
Plik wygląda jak film, ale kończy się na .exe
Jedna z najprostszych technik zastosowanych w kampanii MovieReaper opiera się na bardzo długich nazwach plików. Przykładowa nazwa może wyglądać jak typowe oznaczenie filmu z informacją o jakości obrazu, kodeku czy ścieżce dźwiękowej, ale na końcu znajduje się rozszerzenie .exe.
Jeżeli okno Eksploratora plików jest wąskie, końcówka nazwy może nie być od razu widoczna. Użytkownik widzi początek nazwy odpowiadający filmowi i ikonę przypominającą legalną aplikację, a nie zwraca uwagi na faktyczny typ pliku.
To ważne, ponieważ typowy film będzie miał rozszerzenie takie jak .mp4, .mkv, .avi czy .mov. Plik .exe jest programem dla Windows, a nie plikiem wideo.
Dlaczego wyłączanie antywirusa to bardzo zły znak?
Badacze Kaspersky zwracają uwagę na problem znany od lat z pirackiego oprogramowania i cracków. Instrukcje dołączone do nielegalnych kopii programów często nakazują użytkownikowi wyłączyć ochronę antywirusową albo dodać pobrany plik do wyjątków.
W praktyce tworzy to idealną sytuację dla malware. Użytkownik sam wyłącza mechanizm, który mógłby zatrzymać infekcję, a następnie uruchamia nieznany plik z internetu. Jeżeli aplikacja wymaga wyłączenia Microsoft Defendera tylko po to, aby się uruchomić, nie należy traktować tego jako normalnego etapu instalacji.
Więcej o roli wbudowanej ochrony Windows opisujemy w poradniku Czy Microsoft Defender wystarczy? Kiedy potrzebny jest dodatkowy antywirus?.
MovieReaper działa wieloetapowo
Po uruchomieniu fałszywego pliku rozpoczyna się kilka kolejnych etapów infekcji. Według analizy Kaspersky pierwszy komponent sprawdza środowisko, w którym został uruchomiony, i wykorzystuje techniki utrudniające analizę w maszynach wirtualnych oraz sandboxach.
Następnie pobierane i uruchamiane są kolejne składniki. Część kodu działa w pamięci, co ogranicza liczbę elementów pozostawionych bezpośrednio na dysku i może utrudniać prostą analizę opartą wyłącznie na wyszukiwaniu nowych plików.
Kampania wykorzystuje również sieć Solana do uzyskiwania informacji potrzebnych do komunikacji z infrastrukturą sterującą. To nietypowy element, ponieważ blockchain utrudnia klasyczne odcięcie całej infrastruktury przez wyłączenie pojedynczej domeny lub serwera.
Co może zrobić zainfekowany komputer?
MovieReaper jest frameworkiem modułowym. Oznacza to, że po początkowej infekcji może uruchamiać kolejne funkcje zależnie od potrzeb operatora. Kaspersky opisuje możliwość dostępu do plików na zainfekowanym urządzeniu oraz wykonywania dalszych działań po uzyskaniu kontroli nad komputerem.
Z perspektywy użytkownika najważniejsze jest więc nie tylko znalezienie początkowego pliku z torrenta. Jeżeli został on uruchomiony, trzeba założyć, że system mógł zostać zmieniony i że mogły zostać pobrane dodatkowe składniki.
Jak rozpoznać podejrzany „film” przed uruchomieniem?
Przed otwarciem pliku pobranego z niepewnego źródła warto wykonać kilka prostych kontroli.
- Sprawdź rozszerzenie. Film nie powinien kończyć się na
.exe,.scr,.bat,.cmd,.msiani innym rozszerzeniu programu lub skryptu. - Włącz wyświetlanie rozszerzeń znanych typów plików w Eksploratorze Windows. Sama ikona nie mówi, czym naprawdę jest plik.
- Nie ufaj bardzo długiej nazwie. Informacje o jakości obrazu czy kodeku mogą służyć do przesunięcia właściwego rozszerzenia poza widoczny fragment nazwy.
- Nie wyłączaj antywirusa. Instrukcja nakazująca wyłączenie ochrony jest ważnym sygnałem ostrzegawczym.
- Nie uruchamiaj pliku tylko dlatego, że pochodzi z torrenta o dużej liczbie seedów. Popularność nie potwierdza bezpieczeństwa pliku.
Co zrobić, jeśli plik MovieReaper lub podobny EXE został już uruchomiony?
Jeżeli podejrzany plik został tylko pobrany, ale nie został uruchomiony, ryzyko jest znacznie mniejsze. Usuń go lub pozwól antywirusowi przenieść go do kwarantanny, a następnie wykonaj skan systemu.
Jeżeli plik został uruchomiony, sytuacja jest poważniejsza. Warto:
- odłączyć komputer od internetu, jeśli podejrzewasz aktywną infekcję,
- nie logować się na nim do banku, poczty i ważnych kont,
- sprawdzić Historię ochrony Microsoft Defender,
- zaktualizować bazę zabezpieczeń i wykonać pełne skanowanie,
- w przypadku uporczywej infekcji uruchomić Microsoft Defender Offline,
- po oczyszczeniu sprawdzić, czy zagrożenie nie wraca po restarcie.
Całą procedurę opisujemy krok po kroku w poradniku jak usunąć wirusa z komputera.
Samo usunięcie pobranego EXE może nie wystarczyć
Jeżeli początkowy program zdążył pobrać kolejne komponenty, skasowanie pliku z folderu Pobrane nie oznacza automatycznie, że system jest czysty. Malware może działać z innej lokalizacji albo pozostawić dodatkowe mechanizmy uruchamiania.
Po zakończeniu skanowania warto skorzystać z checklisty jak sprawdzić, czy wirus został całkowicie usunięty z komputera. Jeżeli infekcja wraca mimo usuwania lub nie można ustalić zakresu zmian, bezpieczniejszym rozwiązaniem może być czysta instalacja Windows.
Różnice między resetem, formatowaniem i reinstalacją opisujemy w osobnym poradniku: Reset, formatowanie czy reinstalacja Windows – co naprawdę usuwa wirusy?.
Najprostsza zasada: film nie powinien prosić o wyłączenie Defendera
MovieReaper wykorzystuje przede wszystkim przewidywalne zachowanie użytkownika: pobranie popularnego materiału, zaufanie do nazwy pliku i uruchomienie programu mimo ostrzeżeń. Nie potrzeba przy tym skomplikowanego exploita — wystarczy przekonać użytkownika, że plik wykonywalny jest czymś, czego oczekiwał.
Dlatego w tej kampanii najważniejszą ochroną jest połączenie podstawowej kontroli typu pliku z aktywnym antywirusem. Jeżeli pobrany „film” okazuje się programem i wymaga wyłączenia zabezpieczeń, należy go potraktować jak potencjalne malware, a nie jak problem z odtwarzaczem.
