作者在 NAS 上跑着常见的 *arr 全家桶，某天面板报警：新一集《南方公园》卡在队列里，路径指向一个 .exe。有人拿剧集名加个 .exe 后缀传到公开种子站，还带着 2,392 个做种，Sonarr 照单全收，然后每 90 秒徒劳地重试导入。qBittorrent 把它标成完成但 total_downloaded 为 0，实际什么都没落盘。作者把它加入黑名单后故意重下一份来拆：文件 887 MB，真正的 PE 只有 118 KB，剩下 886 MB 是接在末尾的垃圾数据，目的就是让扫描器放弃；版本信息伪装成 Freeware Developers 的 SetupHelper.exe。程序里塞满成百上千次「XOR 一个全局变量再 XOR 回去」的空操作，纯粹为了让反编译器输出变差。去掉噪音后逻辑只有六步：打开自身、读最后 64 字节、用其中的密钥定位并解密藏在垃圾里的载荷、手工在内存里映射成 PE、改 PEB->ImageBaseAddress、跳进去——完全不落盘。尾部的 64 字节是配置：ChaCha20 的 key、nonce 与大小字段，key 掩码就在 .data 里，所以不用运行就能用十几行 Python 剥掉外壳，掏出第二阶段 929 KB 的 MSVC C++20 窃密器。它会抓浏览器密码与 cookie、加密钱包、密码管理器、Telegram/Discord/Steam、.ssh/.aws/.kube/.docker、远程桌面配置，连便签都不放过；字符串用 AES-128-CTR 逐条加密，672 个调用点里作者用 Unicorn 模拟抓出 601 条并解密。C2 通过 YouTube 频道与 GitHub gist 下发的死信箱机制取得：beenetprotect[.]com，域名与「游戏频道」在同一天注册。