No fue el regalo de Navidad que Jonny Platt esperaba.
En diciembre, el fundador de SEO Scout, una empresa británica de software de análisis web, afirma que se quedó «horrorizado» al ver que en su extracto de servicios de computación en la nube de Amazon Web Services (AWS) figuraban unos cargos por valor de 45,000 dólares, cuando normalmente ascendían a unos 300 dólares al mes. Al parecer, un «estafador» irrumpió en la cuenta de alojamiento en la nube de su empresa mediante un ataque informático poco sofisticado para robar potencia de procesamiento del servidor con el único fin de generar criptomonedas, a través de lo que se conoce como «minería de criptomonedas».
¿El botín del pirata informático? Se calcula que eran unos seis Monero, una cantidad de criptomoneda que, en aquel momento, apenas alcanzaba un valor de 1,100 dólares.
«Menudo desperdicio», escribió Platt en una publicación de Twitter. «La mayoría de las [pequeñas y medianas empresas] que caigan en la trampa se verían abocadas a la quiebra ante una factura repentina de 45,000 dólares». «Les puedo asegurar que da un miedo de locos».
Platt, quien finalmente logró convencer a AWS de que le eximiera del pago, forma parte de un número cada vez mayor de empresarios cuyos sistemas han sido secuestrados para la minería de criptomonedas. De hecho, Malwarebytes informa de
un aumento del 300 % en el malware de minería de criptomonedas en 2021. SonicWall registró
51 millones de ataques durante el primer semestre del año. Y Google afirma que
el 86 % de los 50 casos de vulnerabilidades en Google Cloud se utilizaron para la minería de criptomonedas.
Los ataques de minería de criptomonedas, también conocidos como «criptojacking», suelen pasar desapercibidos para la mayoría de los departamentos de seguridad informática. Esto se debe, en parte, a que no son tan potencialmente catastróficas como otras amenazas más conocidas, tales como el ransomware , o los ataques de denegación de servicio distribuido (DDoS). Pero también se debe a que estos piratas informáticos intentan infiltrarse en las redes y permanecer en ellas el mayor tiempo posible y de la forma más discreta posible.
Al igual que los ladrones que encuentran la forma de desviar fracciones de céntimos que los bancos pasan por alto —y que, de este modo, roban millones de dólares—, los «cryptojackers» logran su objetivo haciendo que decenas de miles de servidores realicen sus actividades ilícitas.
Cómo ganan dinero los mineros de criptomonedas mediante el criptojacking
Los ataques informáticos a gran escala son la única forma en que los delincuentes pueden obtener beneficios reales mediante la minería de criptomonedas.
Para los empresarios legítimos, la minería de criptomonedas es un proceso laborioso en el que se utilizan ordenadores de gran potencia para verificar o resolver problemas matemáticos extremadamente complejos, cuyos resultados se registran y se controlan en libros de contabilidad digitales, o cadenas de bloques. Cada vez que un minero resuelve
un problema, recibe como recompensa monedas digitales. Los emprendedores
que cuenten con el equipo adecuado y la paciencia necesaria pueden ganarse la vida de forma modesta
dedicándose a esto.
«[La mayoría] de quienes muerdan el anzuelo se verían arruinados por una factura repentina de 45,000 dólares. Les puedo asegurar que da un miedo de locos.”Jonny Platt, fundador de SEO Scout
Sin embargo, los ciberdelincuentes suelen preferir ganancias más cuantiosas, del orden de varios millones de dólares. Para ellos, el camino hacia el éxito pasa por acumular una enorme capacidad de procesamiento y resolver un gran número de problemas, de forma rápida y constante.
«Si tiene que pagar usted mismo la factura de la luz por la minería de criptomonedas, no va a ganar mucho dinero con ello», afirma Duncan Miller, director de seguridad de terminales de la empresa de ciberseguridad y gestión de sistemas Tanium. «Pero si consigue que otra persona corra con los gastos por usted, entonces la propuesta resulta mucho más atractiva».
Los «cryptojackers» logran esta hazaña utilizando los mismos vulnerabilidades que se emplean en las formas más habituales de malware. Los ataques de phishing, por ejemplo, engañan a los usuarios para que hagan clic en enlaces que instalan scripts de minería de criptomonedas en las redes corporativas. Otra forma de hacerlo consiste en instalar scripts en sitios web o anuncios digitales. El script se ejecuta sin instalar nada en el ordenador del usuario. Los servidores informáticos pasan a formar parte de la red de minería de criptomonedas, ejecutando algoritmos en segundo plano. La mayoría de los usuarios no se dan cuenta de nada.
Los «cryptojackers» tienen como objetivo las tarjetas gráficas de gran potencia
Algunos criptocriminales también se centran en las tarjetas gráficas, que suelen utilizar tanto los jugadores como la mayoría de los usuarios de ordenadores portátiles, con el fin de obtener potencia de procesamiento para la minería de criptomonedas. Sin embargo, lo hacen de formas que un departamento de TI quizá no esperaría de sus empleados, que ahora trabajan a distancia y, en ocasiones, se dedican a los videojuegos.
Las GPU (unidades de procesamiento gráfico) de Nvidia, por ejemplo, se convirtieron en una plataforma muy utilizada por los mineros de criptomonedas que buscaban maximizar la generación de energía. Sin embargo, dado que este no era el uso previsto, el proveedor instaló un software denominado «Lite Hash Rate» (LHR) para disuadir de dicha actividad. Esto desencadenó una especie de guerra con un prolífico grupo de hackers llamado Lapsus$. Según se ha informado, en febrero, el grupo sudamericano « » sustrajo aproximadamente 1 terabyte de datos de Nvidia y amenazó con filtrarlos si Nvidia no eliminaba su LHR.
Es poco probable que una organización media se vea afectada directamente por este tipo de actividades, pero aquellas que sí lo están suelen enfrentarse a numerosos problemas potenciales. Podrían encontrarse con problemas de rendimiento de la red, por ejemplo. O bien, un sobrecalentamiento del sistema, lo que a su vez requiere una mayor refrigeración. Como consecuencia, sus facturas de energía podrían dispararse. El tiempo y los costes de asistencia informática también podrían aumentar, lo que incrementaría la presión sobre unos departamentos de TI que ya se encuentran con una falta de personal y una sobrecarga de trabajo « ». Y, por supuesto, podrían empezar a recibir facturas de servicios en la nube con importes muy inflados, tal y como ocurrió con SEO Scout.
[Véase también: La creciente necesidad de unificar las tecnologías de la información y la seguridad]
Aunque el impacto del criptojacking en las redes individuales no siempre es elevado, si alguien consigue introducir malware en una red para minar criptomonedas, eso significa que una empresa es vulnerable a otras formas de malware, según el experto en ciberseguridad Travis Taylor, copresentador del podcast « : What the Hack» junto con Adam Levin.
«Podrían decidir dar un paso más, en algún momento, y lanzar tipos de malware más peligrosos», declaró Taylor a Endpoint. «O bien podrían
vender su acceso a otras personas en la web oscura. En cualquier caso,
, usted es vulnerable».
Lucha contra el criptojacking mediante prácticas de ciberhigiene
John Pescatore, director de tendencias emergentes en seguridad del Instituto SANS, afirma que, dado que los ataques para la minería de criptomonedas utilizan en gran medida «técnicas de ataque estándar con diferentes cargas útiles y diferentes objetivos», las organizaciones deberían aplicar controles básicos de ciberhigiene y de para minimizar el riesgo y reducir los daños.
«. Debe adaptarse constantemente para mantener a raya a los piratas informáticos.»Travis Taylor, experto en ciberseguridad y podcaster
Para empezar, Roland Díaz, director de gestión técnica de cuentas de Tanium, recomienda utilizar una herramienta de gestión de activos de tipo « » ( ) para obtener una visión completa y actualizada del inventario de de una empresa. La idea consiste en saber no solo qué ordenadores, servidores o máquinas virtuales (MV) acceden a la red, sino también qué aplicaciones y procesos se están ejecutando en ellos. Del mismo modo que un usuario medio de ordenador puede consultar el rendimiento de su sistema para averiguar
qué es lo que ralentiza su PC, es importante que los departamentos de TI supervisen, identifiquen y aborden cualquier actividad inusual en toda la empresa, afirma Díaz.
«Gracias a la gestión de activos, puedo acceder al sistema, consultar el catálogo de elementos que poseo y decir: “De acuerdo, voy a centrarme en estas ocho aplicaciones porque sé que contienen algún elemento malicioso”».
Miller, de Tanium, afirma que los equipos de seguridad informática también deberían utilizar herramientas de detección y respuesta en terminales (EDR) para detectar actividades conocidas. Las organizaciones deben buscar identificadores como BTC y XMR, que se refieren a Bitcoin y Monero, respectivamente, incluidos los nombres de los archivos
y las líneas de comando, afirma. Aunque un sistema de detección y respuesta ante incidentes (EDR) no es una solución milagrosa para todas las amenazas que afectan a una red, en una situación como esta puede resultar
de gran utilidad.
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
Según él, el departamento de seguridad informática también debería vigilar los equipos que parezcan estar utilizando una potencia de procesamiento de la CPU o de la memoria superior a la media. Del mismo modo que los agentes de la DEA pueden estar atentos a un consumo energético inusual en los hogares para detectar laboratorios de drogas ilegales, los equipos de TI pueden analizar minuciosamente los problemas de rendimiento de los ordenadores para detectar actividades de criptojacking.
Miller afirma que las organizaciones también pueden utilizar los EDR para detectar «hashes maliciosos» conocidos que estén relacionados con el criptojacking. Entre ellos se incluyen:
- c717c47941c150f867ce6a62ed0d2d35
- 0c0195c48b6b8582fa6f6373032118da
- 1f776e609dcf28e1170a3167c30b0c6b
«Es posible buscar estos hash maliciosos conocidos para identificar actividades no autorizadas en su entorno», afirma. «Una vez hecho esto», afirma, «en la mayoría de los casos resulta bastante sencillo eliminar los mineros de criptomonedas de
».
Utilización de la búsqueda de amenazas para identificar el criptojacking
Miller advierte de que, una vez neutralizada una posible amenaza relacionada con la minería de criptomonedas, es importante llevar a cabo una investigación forense para determinar cómo los piratas informáticos lograron comprometer el sistema. Aunque se ha solucionado el problema inmediato, la vulnerabilidad sigue existiendo.
En algunos casos, señala, es posible que un ataque no haya procedido del exterior. Podría tratarse de un caso de «» por parte de alguien de dentro de la empresa, que se habría «» de los recursos corporativos para ganar un poco de dinero extra. Expertos como Taylor recomiendan formar a los empleados sobre los riesgos y amenazas que se ciernen sobre sus puestos de trabajo en caso de que permitieran que los recursos informáticos de la empresa se utilizaran de forma perjudicial.
[Lea también: Por qué los trabajadores violan las políticas de ciberseguridad]
Miller aconseja a los investigadores forenses que trabajen como los «cazadores de amenazas», teniendo en cuenta una amplia gama de factores que influyen en el caso, tales como:
- N.º de identificación. ¿Se produjo el ataque informático a raíz de que se filtraran unas credenciales?
- Estrategia. ¿Accedieron los piratas informáticos a las credenciales mediante phishing, ingeniería social o por negligencia u hostilidad de los empleados?
- El momento oportuno. ¿Cuándo comenzó el evento?
- Frecuencia. ¿Se trató de un caso aislado o se produjeron ataques informáticos repetidos?
- Riesgo futuro. ¿Ha supuesto este suceso una puerta de entrada a otras amenazas que podrían resultar más perjudiciales desde el punto de vista financiero y operativo?
Según los expertos, el criptojacking no va a desaparecer a corto plazo. De hecho, prevén que aumenten tanto la frecuencia como la gravedad.
«Por muchas medidas de defensa que se adopten para frustrar los ataques, los criptojacker parecen acabar encontrando la forma de sortearlas», afirma Taylor. «Siempre habrá alguna forma nueva y creativa de eludir los protocolos de seguridad». «Debe adaptarse constantemente para mantener a raya a los piratas informáticos».
