Se ha detectado un nuevo framework de malware para Windows llamado MovieReaper, el cual se distribuye a través de torrents de películas populares. Los atacantes han manipulado las descargas para convertir la búsqueda de entretenimiento en una vía de robo de datos y acceso remoto, afectando a usuarios y organizaciones en diversos países mediante el uso de enlaces magnet.

Se están utilizando torrents de películas para distribuir un nuevo framework de malware para Windows llamado MovieReaper. Los atacantes han "envenenado" las descargas de torrents de películas populares, convirtiendo una búsqueda rutinaria de entretenimiento en una vía para el acceso remoto y el robo de datos.

La campaña ha llegado a usuarios y organizaciones de varios países. Las víctimas que utilicen un enlace magnet podrían recibir un archivo torrent malicioso en lugar de la película que esperaban.

El archivo alterado descarga un cargador disfrazado de lanzamiento de medios, a menudo con un nombre largo diseñado para ocultar su extensión ejecutable. Una vez abierto, comienza un compromiso por etapas que se ejecuta principalmente en la memoria.

Los analistas vincularon la actividad a almacenamientos comprometidos utilizados por los rastreadores de torrents, en lugar de una brecha en cada rastreador individualmente. Esa distinción permitió a los operadores alcanzar múltiples servicios a través de un único repositorio envenenado.

Securelist señaló en un informe que los investigadores identificaron varios cientos de víctimas. Las infecciones observadas abarcan Europa, Asia y África, afectando tanto a usuarios privados como a organizaciones de gobierno, TI, comercio minorista, transporte, consultoría y agricultura.

La amplitud de esos objetivos muestra por qué las descargas envenenadas siguen siendo un problema: un único punto de distribución comprometido puede exponer a personas que nunca visitan el mismo sitio web de torrents.

Durante la primera ola de la campaña reportada, se encontraron algunas infecciones en Rusia, Turquía, Japón, Kenia, Uganda, Colombia, España, Países Bajos, Bélgica y Alemania.

Envenenan torrents de películas con el malware MovieReaper

El cargador de la primera etapa ha aparecido bajo nombres como “the odyssey (2026) [1080p] [webrip] [5.1].exe”, compartiendo el mismo hash MD5 en las descargas.

Utiliza un icono de aplicación familiar y un nombre de archivo excesivamente largo para que el .exe final sea menos obvio. Esta ingeniería social confía en que las víctimas ejecuten lo que parece ser contenido de vídeo.

Antes de contactar con sus operadores, el cargador realiza comprobaciones destinadas a frustrar el análisis automatizado. Evita llamadas comunes de Windows, utiliza un manejador de excepciones vectorizadas y ejecuta el siguiente componente en la memoria.

Si estás rastreando comportamientos evasivos similares, puedes comparar la técnica de bypass de UAC de Windows, donde también se utilizaron rutas de Windows con apariencia confiable y debilidades de elevación para reducir las sospechas.

MovieReaper se conecta entonces a un servidor de primera etapa para obtener el shellcode, utilizando un dominio y una dirección IP de respaldo. El payload recupera código adicional en fragmentos que se asemejan a rutas de imágenes inofensivas de servicios en la nube.

Posteriormente, se instala en una ubicación que parece de telemetría de Windows, elude el Control de Cuentas de Usuario (UAC) y se reinicia para preservar el acceso después de que tú vuelvas a iniciar sesión.

El módulo final otorga a los operadores un control amplio sobre los archivos, incluyendo la capacidad de leerlos, cargarlos, descargarlos, renombrarlos, moverlos y eliminarlos.

También puede crear vistas previas y miniaturas antes de extraer el contenido, ayudando a los atacantes a elegir los archivos más valiosos. Ese diseño modular significa que se pueden entregar capacidades adicionales solo cuando el operador decida que son necesarias.

El C2 basado en Solana fortalece la resiliencia

La característica más inusual de la campaña es el uso de la blockchain de Solana para localizar un servidor de comando y control (C2) posterior. El shellcode consulta una cuenta específica a través del endpoint getAccountInfo de Solana y luego decodifica una dirección cifrada almacenada en los datos devueltos.

Esto hace que la ruta de comunicación sea más difícil de interrumpir que una lista de servidores convencional. El control basado en blockchain no hace que el malware sea invisible, pero puede complicar los cierres ya que el atacante puede actualizar los datos de destino sin depender de un sitio web ordinario.

Una campaña relacionada de malware Glassworm dirigida a desarrolladores utilizó igualmente Solana para distribuir instrucciones, ilustrando cómo los criminales están adaptando los servicios de blockchain pública para obtener resiliencia operativa.

El componente de segunda etapa de MovieReaper utiliza HTTPS con un certificado anclado y puede cargar módulos adicionales directamente en la memoria. Los investigadores afirman que la actividad del actor se remonta a octubre de 2025 y ha evolucionado para hacer que el cargador sea más difícil de detectar.

El análisis del C2 de blockchain de PHANTOMPULSE muestra similarmente cómo la ejecución en memoria, los bypass de privilegios y el control descentralizado pueden reforzarse entre sí.

Como defensor, deberías bloquear los indicadores de la tabla, investigar los sistemas con descargas de torrents inusuales y revisar cuidadosamente las ejecuciones sospechosas.

Tú deberías evitar los instaladores piratas y nunca desactivar la protección para ejecutarlos en tus dispositivos personales. Para otro ejemplo de cadena de suministro, la campaña Solana FakeFix muestra por qué las fuentes de software no verificadas pueden exponer rápidamente credenciales y datos sensibles.

Fuentes:
https://cybersecuritynews.com/poison-movie-torrents/