📱 Tutorial
Tu server de series descargó un .exe: el malware que se hizo pasar por South Park
2,392 seeders. Un archivo .exe. Y tu servidor de series lo bajó solo, sin que tú hicieras nada.
Eso es lo que le pasó a un usuario de Reddit que automatiza sus descargas con Sonarr. Alguien tomó el nombre del nuevo episodio de South Park, le pegó .exe al final y lo subió a trackers públicos. Ni siquiera la trampa clásica de carpeta con .mkv falso más "instalador de codec": el ejecutable solo, descarado, con un nombre que cualquier persona ignoraría.
Sonarr lo descargó igual. Porque Sonarr confía en que si el archivo se llama como tu episodio, es tu episodio.
887 MB de basura con un programa de 118 KB adentro
El archivo pesaba 887 MB. El programa real: 118 kilobytes. El resto era basura aleatoria pegada al final, y no era por capricho: muchos análisis automatizados se rinden con archivos gigantes.
Dentro había cientos de operaciones XOR inútiles que existen exclusivamente para ensuciar el descompilador. Pero la lógica real era de seis pasos: abrirse a sí mismo, leer los últimos 64 bytes, desencriptar un segundo programa oculto en la basura, cargarlo en memoria y ejecutarlo. Nunca toca tu disco duro.
¿Y qué robaba? Literalmente todo
Un segundo ejecutable de 929 KB contenía un stealer completo:
- Navegadores: Chrome, Edge, Brave, Opera GX, Vivaldi, Firefox — contraseñas, cookies y autocompletado.
- Billeteras cripto: Exodus, Electrum, Ledger Live, Trezor Suite, Monero, Zcash y más.
- Gestores de contraseñas: Bitwarden, 1Password, KeePass, NordPass.
- Cuentas: tokens de Telegram y Discord, cookies de Steam y Roblox, Minecraft.
- Desarrolladores: carpetas .ssh, .aws, .azure, gcloud, .kube y .docker. Si eres dev con llaves SSH en tu NAS, eres el premio mayor.
- Hasta tus notas adhesivas de Windows. En serio, hasta las Sticky Notes.
¿El servidor de control? Descifrado desde un canal de YouTube y un gist público. Sin IP fija, sin dominio privado, casi imposible de tumbar.
El detalle que la comunidad no perdona
El .exe llegó con una capa anti-debug y anti-sandbox: si detecta que lo abriste en una máquina virtual, simplemente se sale sin hacer nada. Un analista ve una app normal que abre un archivo y cierra. Perfecto.
Excepto que la clave de desencriptado está dentro del propio archivo. Doce líneas de Python bastaron para sacar el segundo programa sin ejecutar nada. Toda esa parafernalia de seguridad ofensiva, derrotada sin levantar el mouse.
Cómo protegerte si usas Sonarr, Radarr o similar
1. Restringe extensiones en Sonarr. En Settings → Media Management → Restrictions, bloquea .exe, .bat, .scr y .msi. Sonarr acepta una lista de extensiones permitidas: solo .mkv, .mp4 y .avi.
2. Verifica calidad por nombre, no solo por similitud. Los archivos legítimos llevan grupos de release conocidos (MeGusta, WEB-DL, x264). Un .exe jamás debería pasar el filtro de Sonarr si configuras bien las restricciones.
3. Aísla tu stack. Corre qBittorrent y Sonarr en un contenedor o máquina separada. Si algo baja un ejecutable, que no tenga acceso a tus llaves SSH ni a tus billeteras.
4. Nada de ejecutables en el NAS, punto. Si tu sistema de archivos es accesible desde el servicio de descargas, un stealer instalado ahí tiene las llaves de tu vida entera.
5. Revisa tu historial de importaciones. Si Sonarr intentó importar un archivo cada 90 segundos y falló, hay un .exe colgado en tu cola de descargas. Borra y blocklista.
La ironía final
Este malware necesitó un descompilador para analizarse, cifrado ChaCha20, AES con S-box escondida detrás de RC4 y 672 sitios de llamada encriptados individualmente. Y aun así, una docena de líneas de Python lo desnudaron por completo.
La amenaza real no era sofisticada. Era un .exe con nombre de serie y 2,392 personas sembrándolo sin leer.
Comparte esto con alguien que automatiza sus descargas y nunca revisó las extensiones permitidas de Sonarr. Te lo agradecerá el día que su NAS deje de ser suyo.