Un usuario que ejecuta una pila estándar de *arr en un NAS notó que Sonarr había descargado un falso episodio de South Park desde rastreadores públicos de torrents. El archivo no era un vídeo sino un ejecutable de Windows con 2.392 seeders, y seguía fallando al importarse cada 90 segundos. Bittorrent marcó la descarga como terminada sin que se escribiera ningún byte en el disco, algo que el usuario no pudo explicar.
El usuario añadió la versión a la lista de bloqueo y luego la descargó de nuevo a propósito para averiguar qué contenía. El programa real ocupaba solo 118 KB; los 886 MB restantes eran basura añadida al final para eludir los escáneres. Sobre el código se superpuso una ofuscación intensa basada en XOR para que la salida del descompilador fuera ilegible. Una vez eliminada, la lógica constaba de seis pasos: leer una configuración de los últimos 64 bytes del archivo, descifrar una carga oculta mediante ChaCha20, mapearla en memoria sin tocar el disco y saltar a ella.
La carga incrustada incluía comprobaciones antidepuración y antisandbox, y usaba cifrado en capas para sus cadenas. El usuario descifró 601 de las 672 cadenas cifradas. La lista descifrada señalaba como objetivos navegadores, billeteras de criptomonedas, gestores de contraseñas y almacenes de cuentas, lo que indica robo de credenciales y de billeteras.
El caso muestra cómo el malware disfrazado de contenido multimedia puede eludir la detección mediante relleno de tamaño, resolución en tiempo de ejecución y ejecución en memoria. Se recomienda desconfiar de los ejecutables que se hacen pasar por vídeos.
Fuente: Hacker News · Resumido por HeadlinesBriefing