TorrentClawは、トレントのファイル名と実際の内容を照合する機能「TrueSpec」を運用しています。人気作品を装ったファイルにマルウェアが含まれる例も見つかり、同サイトは該当するトレントに警告を表示します。 検査で見つかった手口は、動画再生ソフトに見せかけた実行ファイルと悪意あるDLLを組み合わせるものです。
TrueSpecは動画の一部を取得して内容を調べる
トレントのファイル名には解像度やコーデック、音声形式などが記されますが、実際のファイルと一致する保証はありません。TrueSpecはトレントに接続してファイル一覧を読み、動画の解析に必要な部分を取得します。TorrentClawによると、取得量は1件あたり10〜20MBで、動画解析にはメディア情報を調べるツール「ffprobe」を使います。
TorrentClawの説明では、TrueSpecは音声や字幕の言語、映像コーデック、HDR形式、フレームレートなどを抽出し、ファイル名との違いを記録します。 同サイトが公開する集計では、解析済みトレントは128万7351件以上、ファイル名などの情報を修正した件数は8万3425件以上です。 これらは同サイトの集計値で、検査対象は人気のあるトレントを優先するとしています。
マルウェアの検査では、疑わしいファイルのハッシュ値をVirusTotalで照合し、小さなファイルは同サービスにアップロードしてスキャンします。TorrentClawは独自のウイルススキャナーを運用しておらず、判定はVirusTotalによるものです。 マルウェアが確認されると、TorrentClawは一覧から削除するのではなく警告ラベルを付け、ダウンロードボタンを無効にします。
VLCを装うファイルと悪意あるDLL
TorrentClawが確認したマルウェア入りトレント34件のうち31件には、新作の映画やエピソード名を付けた実行ファイル、libvlc.dll、サブフォルダー内の動画が含まれていました。 実行ファイルは本物のVLC media playerを改名したもので、TorrentClawによると、VideoLAN公式版と同一で署名も付いています。 一方、同梱されたDLLがVLCの起動時に読み込まれ、VirusTotalの複数エンジンからトロイの木馬と判定されました。
この手口では、動画プレーヤーらしい実行ファイルが見せかけとなり、再生時に同じフォルダーの悪意あるDLLが読み込まれます。 確認例には『The Boys』『呪術廻戦』『葬送のフリーレン』のエピソードや、『Dune: Part Three』『Zootopia 2』の名前を使ったものがありました。 トレントの名前にはSubsPlease、ETHEL、YTSなど既知の配布グループ名も使われていました。
この構成は、セキュリティ研究者shavitushが調べたNyaa上の偽SubsPlease作品にも見られました。盗まれたNyaaアカウントから、未放送の『呪術廻戦』第52話をうたうトレントが投稿され、実際には第51話の動画が含まれていました。 展開後のフォルダーには、VLCを装う実行ファイルと悪意あるlibvlc.dllが同梱されていました。
研究者の分析では、偽装VLCを実行するとDLLが読み込まれ、動画を再生する一方で、情報窃取型マルウェアが動作しました。 窃取対象にはブラウザーのログイン情報やCookie、パスワード、ゲーム関連アカウント、暗号資産ウォレットなどが含まれていました。 研究者は複数の利用者が感染したと述べていますが、感染者数は示していません。 同分析は当初マルウェアをVidarと説明した後、帰属は誤りでRhadamanthysだったとの訂正を追記しています。
誤検出と検査対象の限界
TorrentClawは7月の旧データでマルウェア事例を6450件と数えていましたが、その多くは誤検出でした。無害な実行ファイルや、音声言語を切り替えるファンサブ用スクリプト、ウェブサイトを開くスクリプトなども含まれていたとしています。 9月下旬のデータではVirusTotalが確認したものだけをマルウェアとして扱い、該当件数は34件でした。
同じ時点で、解析した687057件のうち1265件が、動画を装うプログラムや解像度の偽装など「誤解を招く」内容として記録されていました。 一方、調査対象の55%にはファイル名に記載のない字幕トラックがありましたが、字幕は通常、タイトルに含まれないため、誤記と同じ扱いにはできません。 TrueSpecの判定数は、何を誤りや危険とみなすかによって変わります。
検出されたマルウェアは実態より少ない可能性があります。TrueSpecは大きな実行ファイルをダウンロードせず、シード数の多いトレントを優先するため、活動停止中のトレントは検査できません。 また、TorrentClawは映画とテレビ番組を中心に扱い、海賊版ソフトウェアやゲームはほぼ対象外です。
AIを使った運営とサービスの仕組み
TorrentClawの開発者Deivid Sotoは、Claude Codeと用途別のローカル大規模言語モデルを組み合わせて、サイトの中核を構築・運営していると説明しました。 AIは映画や番組名に合わせたトレントの分類にも使われ、手作業で行う整理を補助しています。 TrueSpecも、こうした開発の中で作られた機能です。
TorrentClawは、AIアシスタントがトレントの検索や.torrentファイルの取得に使えるMCPサーバーも提供しています。 Sotoによると、一部のアカウントでは1日あたり約1万件のAPIリクエストがあります。 7月時点でTrueSpecの運用には3つのノードを使い、合計費用は月50ドルを大きく下回るとしていました。
TorrentClawは9月下旬、削除要請を処理するAI管理システムを導入し、これまでに23件を処理したとしています。 導入前に受け取った要請は300件強で、大半は重複だったと説明しています。 有料プランはPROが月3.99ドル、VPNを加えたPRO+が月6.99ドルです。
