"Todo
dispositivo capaz de ejecutar un conjunto de instrucciones puede servir de
plataforma para minar criptomoneda".
Ahora lo que se lleva
es el minado. Da igual que tengas acceso a un cluster de computación de altas
prestaciones o un smartwatch. O si eres root en cien mil dispositivos IoT. El
nuevo 'in' es triturar 'nonces' para ver si nos ha tocado el hash que lleva el
premio gordo.
El cibercrimen no
para de encontrar vías de recaudación para su negocio (el uso involuntario, y
si es posible inadvertido, de lo ajeno) Si antes utilizaban nuestro ancho de
banda como arma de ataque o nuestro disco duro para crear su propia nube
privada, la CPU es usada ahora para minar criptomoneda. Al abordaje.
El caso más sonado,
de entre muchos, es el de "The Pirate Bay". Visitas la web, cargas el
infame 'coinhive.min.js' (ojo, puede llamarse de cualquier modo, el nombre es
lo de menos) y en pocos segundos tu CPU empieza a fibrilar dando mazazos con su
pico virtual:
Para algunos sitios
webs, cuya fuente de ingresos suele ser la publicidad, es normal que recurran a
vías alternativas de financiación, sobre todo con el alza de los bloqueadores
de publicidad o proyectos como Pi-Hole. Quizás incluso más de uno esté
dispuesto a donar esos ciclos de CPU a cambio de la lectura de artículos, etc.
Porque de algo tienen que vivir ¿no? No es mala opción, yo daría un ratito del
núcleo #2 a cambio de que no me estampen un anuncio a pantalla completa mientras
hago scroll (la nag screen del siglo XXI).
El problema aparece
cuando se hace con inquina. Hackean un sitio web, meten el minero y a esperar
que saque dineros hasta que alguien se da cuenta y el responsable arregla el
desaguisado. Incluso es tal la avaricia que aunque estos scripts poseen un
nivel de consumo, en la mayor parte de los casos se les quita el freno y
cabalgan a toda máquina, alertando así a los usuarios. Aun más, suelen
desplegar una ventana minimizada con el minero, para pasar desapercibidos
aunque el usuario crea que ha cerrado todas las pestañas. Todo un gesto de
supervivencia.
Otro problema
asociado es en dispositivos móviles. Minar en un móvil es sinónimo de acabar en
pocos minutos con la batería del dispositivo (si has jugado a algún juego con
gran carga gráfica puede que lo hayas experimentado). De nuevo, estos scripts
suelen traer de fábrica la detección de móviles. En ese caso no proceden a
ejecutarse, pero, por supuesto, en el caso de sitios malogrados este script es
configurado para ejecutarse en estas plataformas, tan sensibles al gasto
energético.
Por otro lado,
tenemos un arsenal de anti-mineros que se basan en listas negras de sitios o
scripts con contenido conocido. Su uso es similar, sino es que está incluido, a
los anti-ads o bloqueadores de publicidad. No es una solución elegante (no
escala nada bien), pero funciona, de momento, aunque y ya existen
anti-anti-adblocks que previenen la prevención (valga la redundancia):
De momento, ya sea
por una gráfica de consumo de CPU disparada o el chivato del ventilador de la
CPU, en ocasiones, los mineros son pillados in fraganti sacando tajada del
micro por el propio usuario. El problema es cuando meten un minero en firmware
de un router perdido, bajan el consumo de CPU por debajo del radar o detienen
su actividad si observan que el usuario está activo.
El futuro está en la
mina. De eso no hay duda, pero eso nos va a costar un buen recibo en algunos
casos. Muchos dejan su equipo encendido durante horas o días, una visita a la
web equivocada podría dejar un script de minería rodando durante ese tiempo,
con lo que podríamos machacar el equipo y terminar pagando un buen pico en el
recibo de la luz.
Fuente: Hispasec
