Una de las amenazas de malware de más rápido crecimiento ha afectado a una enorme cantidad de empresas en los últimos dieciocho meses, y la mayoría ni siquiera lo sabe. Se trata de una amenaza llamada cryptojacking, cuya popularidad se debe principalmente al espectacular aumento del precio de Bitcoin y, por extensión, de otras criptomonedas a finales de 2017. La mayoría de las víctimas de cryptojacking no son conscientes de la infección de su propio sistema, ya que su actividad no es disruptiva para el usuario: el malware únicamente roba la capacidad de procesamiento de su CPU y la electricidad utilizada para ello.
Fundamentos de la minería de criptomonedas
Para comprender cómo funciona el cryptojacking no hace falta explicar demasiado; basta con presentar los fundamentos de la minería de criptomonedas. La minería de la mayoría de las criptomonedas implica a muchos voluntarios de todo el mundo que intentan resolver un problema matemático específico, exigente en capacidad de procesamiento, a cambio de una recompensa para el más rápido de ellos. El resultado se registra en una base de datos compartida de transacciones, es decir, se distribuye a todos los participantes, y el «minijuego» vuelve a comenzar. En Bitcoin, cada uno de estos minijuegos dura una media de 10 minutos. La verificabilidad pública de la validez y la interconexión mutua de los resultados garantizan la verificación automatizada de las transacciones realizadas en el sistema, por lo que ya no es necesaria una comprobación adicional de su validez por parte de una institución autorizada como un banco. Todo el proceso se denomina Proof-of-Work (PoW) y constituye una solución eficaz al problema del doble gasto, inherente a todas las monedas digitales, así como una de las contribuciones más valiosas de la tecnología blockchain.
Actualmente, para minar la mayoría de las criptomonedas, incluido Bitcoin, se utiliza hardware optimizado para ello, capaz de resolver el problema en cuestión muchas veces más rápido que los procesadores informáticos normales y, al mismo tiempo, inadecuado para casi cualquier otra cosa. Se denominan chips ASIC, es decir, circuitos integrados para aplicaciones específicas.
Sin embargo, también existe una serie de criptomonedas que requieren para su minería el cálculo de problemas matemáticos diseñados para ser resistentes a los tipos conocidos de chips ASIC y para cuyo cálculo sean más eficientes las GPU disponibles habitualmente, es decir, las tarjetas gráficas (y, de forma marginal, las CPU). El motivo de esta medida es la amplia disponibilidad mundial de las GPU frente a los chips ASIC, cuya producción sigue estando controlada por un grupo muy reducido de empresas, principalmente chinas, con plazos de entrega de varios meses. De este modo, los desarrolladores intentan hacer que el proceso de minería (verificación de transacciones) sea accesible al mayor número posible de interesados y reducir la probabilidad de que más del 51 % de la capacidad de la red quede controlada por un pequeño número de actores poderosos que, en tal caso, podrían abusar del ya mencionado problema del doble gasto, es decir, devolver a su monedero dinero ya gastado, lo que, además de constituir de facto un robo, desacreditaría la utilidad de la criptomoneda atacada. Estos ataques del 51 % contra criptomonedas PoW más pequeñas son cada vez más frecuentes.
Coinhive o ¿monetización alternativa del contenido web?
Una consecuencia no deseada de la optimización de la minería para procesadores GPU y CPU convencionales es el fenómeno del cryptojacking. Desarrolladores astutos idearon una forma de dividir el problema matemático cuya resolución es la esencia de la minería en muchas partes pequeñas y encargarlas para su cálculo a miles de procesadores CPU en ordenadores de usuarios mediante aplicaciones para Windows o Linux, o a través de código JavaScript que se ejecuta en el navegador del usuario y es iniciado por la página visitada. La implementación más conocida y extendida de minería de criptomonedas mediante navegadores web se convirtió en la aplicación Coinhive, que se centra en la minería de una criptomoneda llamada Monero.
Sin embargo, no en todos los sitios donde encuentre código de Coinhive o servicios similares ocurre algo ilícito: el uso de la aplicación en páginas web puede ser una forma completamente transparente y legítima, aunque marginal, de monetizar contenido. Por ejemplo, la popular revista estadounidense Salon.com también lo probó. Además de la navegación con suscripción sin anuncios y la navegación gratuita con anuncios, ofrecía una tercera opción: navegar sin publicidad a cambio de minar temporalmente con el propio ordenador. El conocido portal pirata thepiratebay.org también utiliza el script de Coinhive.
La realidad es que incluso los sitios con cien mil visitas diarias solo ganan unas pocas coronas mediante Coinhive y servicios similares. Incluso Salon.com puso fin a la monetización mediante la minería de criptomonedas. Tampoco resulta especialmente lucrativo crear y gestionar botnets con páginas y ordenadores de usuarios infectados. Esto se debe, por un lado, a que la gran mayoría de las criptomonedas han perdido un considerable 90 % de su valor desde el año pasado y, por otro, y sobre todo, a la relativa inadecuación de las CPU de los usuarios para minar criptomonedas en comparación no solo con los chips ASIC, sino también con las tarjetas GPU, que no pueden activarse mediante JavaScript ni, por tanto, a través de un navegador web, por lo que todavía no pueden utilizarse indebidamente para cryptojacking.
En pocas palabras, la minería a través del navegador ofrece muy poco a cambio de un coste elevado. Aunque esto disuade a la mayoría de los interesados en un uso legítimo, así como a algunos hackers, sigue habiendo suficientes páginas web y ordenadores de usuarios infectados con un script de Coinhive modificado que minan desinteresadamente para los hackers utilizando máquinas ajenas y electricidad robada, aunque sea en pequeñas cantidades.
Los hackers obtienen acceso a su sistema mediante técnicas de infiltración probadas, como el phishing y el man-in-the-middle. Las variantes más sofisticadas del malware de cryptojacking están configuradas para ejecutarse únicamente cuando el usuario está inactivo o para no robar más del 20 % de la CPU, con el fin de que sean más difíciles de detectar. La mayoría de los usuarios probablemente atribuirán una ligera ralentización o una carga momentánea del procesador a la última actualización del sistema operativo, a demasiadas ventanas abiertas en el navegador o al envejecimiento del hardware.
Una amenaza oculta
Por tanto, es difícil de detectar y probablemente apenas afectará a la calidad de su interacción con el ordenador; entonces, ¿por qué hablamos siquiera del malware de cryptojacking? Porque normalmente introduce en los sistemas infectados a sus parientes más maliciosos, como el ransomware. En las páginas infectadas y en los enlaces de correos electrónicos de phishing, hoy en día a menudo esperan ambos tipos de malware junto con un fragmento de código que primero comprueba el estado de la seguridad adicional de su equipo y posteriormente determina qué malware será más rentable ejecutar.
Sin embargo, del uso del mismo vector de ataque por parte del ransomware y el malware de cryptojacking también se desprende una buena noticia: puede protegerse de ambos de forma prácticamente idéntica:
- Forme a los usuarios sobre los vectores más comunes de los ataques de malware
- Desactive la configuración predeterminada de los navegadores e impida que los sitios web ejecuten JavaScript
- Instale software antivirus de endpoint capaz de hacer frente a las amenazas más comunes y manténgalo actualizado
- Implemente protección cibernética basada en inteligencia artificial, como Acronis Active Protection, que reconoce y detiene inmediatamente tanto el ransomware como los ataques de cryptojacking —incluidos los ataques que utilizan exploits de día cero, frente a los cuales los antivirus clásicos son indefensos— antes de que tengan tiempo de instalarse en su sistema.
Conclusión
El cryptojacking por sí solo no es algo que deba preocuparle demasiado. Sin embargo, la extensión del fenómeno indica claramente que todavía existen muchos usuarios finales y empresas que no utilizan medidas básicas de seguridad ni soluciones modernas y eficaces como Acronis Active Protection.
No deje que le arruinen la Navidad y pruebe uno de nuestros productos que incluyen Acronis Active Protection, o al menos descargue gratuitamente la aplicación independiente Acronis Ransomware Protection.
Fuente: https://www.acronis.cz/cryptojacking-taskarice-znacici-zavaznejsi-problemy/
Autor del artículo: Redacción ZEBR.ai
