AI構築のトレントサイト、ダウンロードの中身を検査して偽物やマルウェアを検出

TorrentClawは2月にローンチした比較的新しいトレント検索エンジンです。このサイトは、独自のDHTクローラーと数十の外部トレントサイトおよびアグリゲーターからのリンクに基づいています。わずか数ヶ月で、サイトは最新のハリウッド大作やヒットシリーズを含む600万以上のトレントのインデックスに成長しました。ホームページは従来のトレントサイトよりもモダンに見え、明確なAIデザインの兆候が見られます。それは秘密ではありません。それどころか、AIはサイトの開発とマーケティングにおいて中心的な役割を果たしています。TorrentClaw.com TorrentClawの開発者（全員がDeivid Sotoという名前を使用）によると、プラットフォームは主にAIの助けを借りて構築および実行されています。「基本的に、コアフレームワークはClaude Codeと、特定の実行および取り込みタスク用のローカルLLMを組み合わせています」とSoto氏は述べています。例えば、AIはトレントを映画やテレビ番組のタイトルに一致させるために使用され、それらをきれいに整理できます。AI主導のカテゴリ分けプロセスは、本来手作業で行われるタスクを引き継ぎ、AIは新しいツールの構築にも役立ちました。この方法で構築された機能の1つがTrueSpecで、トレントがその名前が示唆する内容を実際に含んでいるかを確認します。これにより、偽のトレントやマルウェアを検出するのに役立ちます。 TrueSpec: ダウンロードと検証 ほとんどのトレントサイトでは、リリース名がトレントユーザーにとって主な情報源です。解像度、コーデック、オーディオ、リリースグループが記載されていますが、その正確性を保証するものではありません。誤ったラベルのトレントは、適切に管理されているトレントサイトではモデレーターによって処理されますが、ほとんどの自動インデックスにはアクティブなモデレーションがありません。そこでTrueSpecが登場します。 TrueSpecはトレントのスワームに参加し、ファイルリストを読み取り、分析ツールffprobeでビデオをチェックするのに十分なピースをダウンロードします。サイトと開発者によると、これはトレントあたり10〜20MBです。 TrueSpec 名前の検証に加えて、TrueSpecは疑わしいファイルもチェックします。ファイルのハッシュをVirusTotalで検索し、ファイルが十分に小さい場合はスキャン用にアップロードします。TorrentClawは独自のウイルススキャナーを実行していませんが、マルウェアの判定はVirusTotalから提供されます。TrueSpecがマルウェアを検出した場合、トレントはサイトにリストされたままですが、「Malware detected（マルウェア検出）」というラベルが付いており、ダウンロードボタンは無効になります。執筆時点では、このラベルが付いた偽のJujutsu Kaisenのエピソードには34のシーダーがいましたが、一部の外部サイトではまだ利用可能でした。 'Malware detected' 完璧ではない TrueSpecシステムは完璧ではありません。7月には、以前のデータセットで6,450件のマルウェアケースがカウントされましたが、多くは誤検出でした。これには、無害なRARBG_DO_NOT_MIRROR.exeファイル、オーディオ言語を切り替えるファンサブスクリプト、単にウェブサイトを開くだけのスクリプトが含まれていました。9月下旬のTrueSpecのデータは異なる様相を示しています。TorrentClawは現在、VirusTotalが確認した場合のみマルウェアをカウントしており、34件のトレントが該当します。私たちはこれらのうちいくつかをデータ内の証拠と照合しましたが、それは確認されたすべてのケースについてVirusTotalレポートにリンクしています。検出されたマルウェアは稀ですが、カウントはおそらく低すぎます。TrueSpecは大きな実行可能ファイルをダウンロードせず、よくシーダーがいるトレントを優先し、デッドスウォームはまったくチェックできません。TorrentClawは映画やテレビ番組にも焦点を当てているため、海賊版ソフトウェアやゲームはほとんど除外されています。 マルウェアはTrueSpecがフラグを立てるものの一部にすぎません。合計で、調査された687,057件のトレントのうち1,265件が詐欺的であるとフラグが立てられ、ビデオに偽装されたプログラムや偽の解像度などが含まれていました。これはチェックされた全トレントの0.2%未満です。「誤ったラベル付け」の最も一般的なタイプは、実際には無害です。調査された全トレントの半数以上（55%）には、リリース名に記載されていない字幕トラックが含まれています。TorrentClawはこれをラベル不足としてフラグを立てますが、字幕は通常、ハードコードされていない限りタイトルに追加されません。シーンのルールでもこれは要求されていません。 VLC Player Malware 確認されたマルウェアトレントのほとんどは同じパターンに従っています。34件中31件では、トレントには新しいエピソードや映画の名前を付けられた実行可能ファイル、libvlc.dllという名前のファイル、およびサブフォルダ内の再生可能なビデオが含まれています。このアプリケーションは、正規のVLCメディアプレーヤーのリネームコピーです。TorrentClawによると、これはVideoLANの公式リリースと同一であり、そのコード署名を持っています。悪意のある部分はDLLであり、VLCが起動時にロードし、VirusTotalエンジンがトロイの木馬としてフラグを立てます。トレントには、The Boys、Jujutsu Kaisen、Frierenのエピソード、Dune: Part ThreeやZootopia 2などの映画を含む、人気のある新しいリリースの名前が付けられています。多くは、SubsPlease、ETHEL、YTSなどの既知のリリースまたは配布グループの名前も持っています。このタイプのマルウェアベクトルは新しいものではありません。今年初め、あるセキュリティ研究者は、Vidar infostealerを拡散するためにNyaaで偽のSubsPleaseリリースを使用したキャンペーンを文書化しました。これらは盗まれたアカウントからアップロードされたと報告されています。TorrentClawは2月から8月の間にこれらの31件のトレントを調達しました。そのほとんど（22件）は独自のDHTクローラーから取得され、残りはNyaa、The Pirate Bay、TorrentDownloadから見つかりました。すべてインデックス化されたときにシーダーがおり、10月初旬には15件がまだアクティブだったとSoto氏は述べています。 AIのために構築され、AIによって構築された TrueSpecだけがTorrentClawを際立たせているわけではありません。このトレントサイトはMCPサーバーも提供しており、ClaudeやCursorのようなAIアシスタントがインデックスを検索し、.torrentファイルを直接取得できます。MCPサーバー技術的には、ユーザーはAIアシスタントにリリースを見つけてトレントファイルをロードするように依頼でき、サイトを一度も訪問する必要はありません。Soto氏によると、一部のアカウントは1日あたり約10,000件のAPIリクエストを行っており、これらは外部サイトやサービスが使用している可能性があります。 TrueSpecの実行にもあまりコストがかかりません。7月、Soto氏はシステムが月額50ドル未満の3つのノードで実行されていると述べました。「暗黙のポイント：検証がこれほど安価であれば、どのインデクサーでも実行できるはずですが、誰も実行していません」とSoto氏は説明しました。とはいえ、何十万ものトレントからコンテンツの一部をダウンロードすることには、法的なコストも伴う可能性があります。TorrentClawのDMCAページには、サイトはファイルをホスト、保存、アップロード、または配布していないと記載されていますが、権利者は異なる見方をするかもしれません。これについて尋ねられたSoto氏は、TrueSpecを読み取り専用クライアントであり、アップロードやシーディングを行わないと説明しています。ビデオファイルの最初の部分だけを取得し、コンテナヘッダーを読み取るのに十分な量です。「分析が完了するとすべて削除します。コンテンツを保存したり提供したりせず、受け取ったすべての有効な削除通知を処理します」とSoto氏は述べています。 TorrentClawは、これらの通知を処理するためにもAIを使用しています。9月下旬にAI管理システムを導入し、これまでに23件の削除通知を処理しました。それ以前は、サイトは300件強の通知を受け取っていましたが、ほとんどが重複でした。TorrentClawはプレミアム機能にも料金を課しています。PROは月額3.99ドル、PRO+はVPNを追加して月額6.99ドルです。そのビジネスモデルが維持されるかどうかはまだわかりませんが、商用トレントサービスは通常、無料のサービスよりも権利者からの注目を集めます。