Un nuevo malware disfrazado de un episodio de la serie animada South Park ha infectado a miles de usuarios que utilizan el software de gestión de series Sonarr, según reveló un investigador de seguridad en un análisis detallado publicado en thereallo.dev. El incidente, que comenzó a principios de 2026, ha expuesto una vulnerabilidad crítica en la forma en que Sonarr y otros indexadores de contenido (como Radarr) procesan archivos descargados de rastreadores públicos. El archivo malicioso, que se distribuyó con 2.392 semilleros en trackers públicos, fue identificado inicialmente por su nombre engañoso: un título de episodio de South Park con la extensión .exe, lo que provocó que Sonarr intentara importarlo automáticamente cada 90 segundos, ignorando la naturaleza ilegal y peligrosa del contenido.
El análisis técnico revela que el archivo no es un simple script, sino un ejecutable PE (Portable Executable) de 118 KB que contiene un payload de 886 MB de 'basura' aleatoria. Esta estructura fue diseñada específicamente para evadir los escáneres de seguridad convencionales, que suelen descartar archivos de más de un gigabyte. Al descompilar el binario, el investigador identificó una lógica de ejecución extremadamente obscura que utiliza cifrado ChaCha20 y técnicas de ofuscación complejas, como el uso de funciones XOR globales para confundir a los decompiladores. Sin embargo, el análisis demostró que la obfuscación era innecesaria para un atacante con conocimientos básicos de criptografía; el investigador logró extraer la clave y el nonce utilizando solo 12 líneas de código en Python, revelando que el malware estaba diseñado para ser fácil de analizar una vez que se tenía acceso al código fuente.
El objetivo del malware es el robo de credenciales y datos sensibles. El payload no se ejecuta directamente en el disco, sino que lee los últimos 64 bytes del archivo para encontrar un payload oculto en la basura. Una vez mapeado en memoria, el malware realiza una serie de acciones para exfiltrar información: accede a las credenciales de navegadores (Chrome, Edge, Firefox, etc.), billeteras de criptomonedas (Exodus, Electrum, Ledger Live), gestores de contraseñas (KeePass, Bitwarden, 1Password) y cuentas de redes sociales (Telegram, Discord, Steam). Además, captura configuraciones de acceso remoto como AnyDesk, TeamViewer y WinSCP. Un hallazgo particularmente irónico y preocupante es que el malware también robaba notas adhesivas del sistema operativo, un dato que sugiere una falta total de ética por parte de los desarrolladores del malware.
La exfiltración de datos se realiza mediante un canal de exfiltración 'dead drop' (caja de cambio) que utiliza un canal de YouTube y un Gist de GitHub como servidores intermedios. El investigador descubrió que la dirección IP del servidor de destino estaba codificada en el binario del malware, lo que sugiere que el creador del malware no tenía intención de mantener un servidor propio, sino de usar infraestructura pública para ocultar su huella digital. La fecha de registro de estos canales (14 de septiembre de 2026) coincide con el inicio de la distribución del malware, confirmando la intención de capturar datos antes de que los usuarios pudieran reaccionar.
El impacto de este incidente es significativo para cualquier usuario que utilice Sonarr, Radarr o Prowlarr conectados a indexadores públicos. A diferencia de los archivos de video legítimos, Sonarr no puede ejecutar archivos .exe, lo que significa que el malware no se ejecutará automáticamente en el servidor, pero sí en las máquinas de los usuarios finales que descarguen los archivos. El investigador recomienda medidas de seguridad inmediatas: bloquear la descarga de archivos con extensiones .exe, .scr, .lnk, .bat y .cmd en qBittorrent; añadir listas de bloqueo en Sonarr/Radarr para eliminar estos archivos; y desactivar indexadores que sirvan contenido malicioso en Prowlarr. Este caso subraya la necesidad de una mayor responsabilidad en la gestión de archivos en el ecosistema de software de gestión de medios, y advierte a los usuarios de que la facilidad de descarga de contenido gratuito puede exponer sus datos personales a amenazas sofisticadas, aunque en este caso, la obfuscación del malware resultó ser más compleja de lo que la obfuscación del malware en sí misma.