Un investigador de seguridad documentó recientemente una campaña de malware dirigida a usuarios de herramientas automatizadas de gestión de medios, como el conjunto "*arr" (Sonarr, Radarr). El malware se distribuía en rastreadores de torrent públicos haciéndose pasar por archivos multimedia populares, como episodios de *South Park*. En un caso, un archivo con una extensión de medios estándar era en realidad un archivo Portable Executable (EXE). Aunque las herramientas automatizadas como Sonarr no pueden ejecutar estos archivos, la amenaza persiste para los usuarios que interactúan manualmente con sus carpetas de descarga y hacen doble clic en los archivos.
El artículo analiza cómo el malware se distribuye en rastreadores de torrent públicos haciéndose pasar por archivos multimedia para herramientas como Sonarr.
El malware emplea varias técnicas para evadir la detección y el análisis. El archivo principal tenía aproximadamente 887 MB, pero la lógica ejecutable real ocupaba solo 118 KB. Los 886 MB restantes consistían en datos basura aleatorios añadidos al final del archivo, una táctica diseñada para evadir los escáneres de seguridad que pueden desistir al procesar archivos muy grandes. Para complicar aún más la ingeniería inversa, el autor utilizó cientos de operaciones XOR para ofuscar la salida del descompilador. A pesar de estas capas, la lógica central es relativamente simple: el programa se abre a sí mismo, lee un pie de configuración y utiliza un cifrado ChaCha20 para descifrar una carga útil oculta en la memoria. Esta carga útil se mapea luego como un Portable Executable (PE) en la memoria, asegurando que el código malicioso nunca toque el disco físico durante la ejecución.
Una vez activo, el malware funciona como un "stealer" integral diseñado para recolectar una amplia gama de datos sensibles. Ataca a los principales navegadores web (incluyendo Chrome, Brave y Firefox) para extraer contraseñas, cookies y datos de autocompletado. También se dirige específicamente a carteras de criptomonedas (como Ledger Live y Trezor Suite), gestores de contraseñas (como Bitwarden y 1Password) y credenciales de desarrollador (incluyendo claves .ssh y .aws). Notablemente, el malware incluso ataca las Notas Autoadhesivas de Windows, que los usuarios suelen utilizar para almacenar claves de recuperación o notas rápidas. Los datos robados se comprimen utilizando una biblioteca zlib integrada y se exfiltran a un servidor remoto. El investigador señaló que, aunque el malware utiliza cifrados complejos como AES-128-CTR y RC4-hidden S-boxes, las claves de configuración a menudo se almacenaban directamente dentro del archivo, lo que permitía descifrar la carga útil con un esfuerzo mínimo.
Para mitigar este riesgo, el investigador sugiere varias medidas proactivas para los usuarios de clientes de descarga automatizados. Por ejemplo, los usuarios de qBittorrent pueden añadir extensiones ejecutables comunes (como .exe, .scr y .bat) a una lista de "Nombres de archivos excluidos" para evitar que se descarguen en primer lugar. Para aquellos que utilizan Sonarr o Radarr, la recomendación es poner estos archivos en una lista negra y usar el comando "Remove from client" para eliminarlos de la cola de descarga. Además, cambiar a rastreadores privados, que suelen tener una moderación de contenido más estricta, puede reducir la probabilidad de encontrarse con tales archivos maliciosos en comparación con los rastreadores públicos.