A medida que crece el interés por las criptomonedas digitales, también lo hace el de las personas por obtenerlas. De todos, incluidos piratas informáticos. “En los primeros ocho meses de 2017 se infectaron más ordenadores con malware para extraer criptomonedas que en todo 2016 ”, explicaba recientemente Raj Samani, científico jefe de McAfee, a The Independent.
Pero no solo son hackers que se cuelan en redes wifi, también páginas que, como The Pirate Bay, deciden probar esta forma de 'financiación' adicional: utilizar el procesador de sus visitantes. Del mismo modo que la llamada publicidad display (como banners) es una especie de contrato no firmado entre los administradores web y los visitantes, utilizarles como mineros [para extraer bitcoins de la red como si fuera un mineral] empieza a ser otra práctica habitual.
“Si las cosas estuviesen bien hechas, deberíamos recibir un mensaje diciendo: '¿aceptas entrar en un programa para la superviviencia de este espacio web?' Eso sería lo ideal”, explica a eldiario.es Cristian Hernández, profesor de EAE Business School y experto en ciberseguridad. Pero la teoría es distinta a la práctica, y la mayoría de webs utilizan este método sin avisar. “Este es el 90% de los casos”, sostiene el especialista.
Practicar este método “en principio no es ilegal”, porque si lo fuera, entonces “también lo sería que las páginas emplearan recursos de los procesadores para realizar sus analíticas web sin notificarlo”, indica a este periódico Juan Corro, director académico del área de Ingeniería en el Centro Universitario U-tad. Sin embargo, aunque los banners y otros códigos también usan recursos, como declara Hernández, “minar consume prácticamente el 100% del procesador”.
¿Las consecuencias? “Una posible ralentización del dispositivo y un posible aumento del consumo energético”, dice el docente del U-tad. Por otro lado, Hernández afirma que, en según qué casos, podría perjudicar gravemente nuestro hardware: “Como el ordenador no esté bien ventilado o el procesador vaya un poco a pedales, puede ser que lo matemos”.
¿Por qué quieren usar mi ordenador?
Pero, ¿de dónde nace este interés en minar criptodivisas? Al igual que ocurre con el bitcoin, los moneros no se crean, sino que se descubren mediante la resolución de un complejo problema matemático. Esto sucede porque utilizan la tecnología blockchain (cadena de bloques), que “es como un gran libro de cuentas dividido por bloques que cuando se juntan tiene sentido, pero separados no”, explica Cristian Hernández.
Como no hay un organismo ni un ente encargado de la criptomoneda, sino que está totalmente descentralizada, entonces es necesario encontrar un mecanismo para verificar todas las pequeñas transacciones realizadas. Por ello, como matiza Hernández, “la información se divide en varios paquetes, esos paquetes se mandan a distintos ordenadores, esos ordenadores validan esa información, y luego se vuelven a juntar”. De esta manera, como todos los dispositivos cuentan con el mismo registro de cuentas, se puede contrastar la veracidad de estas. Cuantos más “verificadores”, más seguro es el sistema.
Ahí es donde aparecen los mineros, “personas que ponen su ordenador al servicio del blockchain y que por cada transacción que complete se lleva una pequeña cantidad de dinero, como una comisión”, señala el especialista en seguridad. El problema es que, como indica el docente del EAE, la complejidad del cálculo aumenta exponencialmente, “lo que antes eran muy pocas transacciones y muy simples, que se podían hacer desde un ordenador doméstico, actualmente requiere de grandes dispositivos con procesadores específicos”.
Ahora para minar es necesaria la potencia de miles de ordenadores que comparten ganancias a través de, por ejemplo, las mining pools (piscinas de mineros). Si además eres webmaster de una página con miles de visitas, puedes tomar una decisión: la de instalar un código para convertir a los lectores en mineros a tu servicio.
“Podría ser una opción de ingresos para algunas páginas”, dice Juan Corro. El problema, como continúa diciendo el profesor, es que “el proceso de minado es cada vez menos rentable al ir agotándose los bitcoins por descubrir”. La correlación entre gasto energético y dinero digital es poco favorable, y para comprobarlo solo hace falta entrar a una calculadora de minado. Por ello, dejaría de ser una alternativa viable para los administradores “cuando ven que el consumo del procesador se dispara una burrada, que es perjudicial para el usuario, y que realmente no se gana un duro”, añade Hernández.
Trucos para evitar que aprovechen tu procesador
Debido a los escasos beneficios, el experto del EAE tiene la sensación de que “esto lo tienen pocas páginas web y no va a ir a más”, ya que “si empezara a ser una tendencia también comenzarían a florecer sistemas de protección”. A pesar de ello, ya existen algunos métodos para salvaguardar nuestro procesador y evitar que un tercero pueda aprovechar su capacidad.
- Administrador de tareas: es el más sencillo de todos. Bastaría con abrir la ventana del administrador para comprobar qué consumo de la CPU están teniendo las aplicaciones en tiempo real. Si estuviéramos minando, “veríamos que nuestro Firefox, Chrome o el que sea está teniendo el 90 o el 100%”, indica el experto en ciberseguridad. Sin embargo, él mismo apunta uno de sus inconvenientes: “Tampoco vamos a estar constantemente en plan paranoico mirándolo”.
- Código fuente de la página: en cualquier web podemos hacer click con el botón derecho y seleccionar la opción “inspeccionar”. De esta manera, se puede buscar entre el código fuente y ver qué elementos se ejecutan dentro de ella. Si en la ventana que aparece buscamos términos como “CoinHive” o alguna de sus alternativas, entonces no sería muy buena señal.
- Desactivar Javascript: “limitar la capacidad de ejecución de códigos Javascript por parte de las páginas en las que navegamos podría ser una de las vías de atajar esta práctica”, recomienda Juan Corro. Pero no iba a ser tan fácil. Como detalla Cristian Hernández, estos códigos “son necesarios para la ejecución de las páginas” y desactivarlos provocaría que “la mayoría no se vean correctamente”. A pesar de ello, desde el propio menú de ajustes de la mayoría de navegadores podemos bloquear o permitir el Javascript de determinados sitios. Así, los más sospechosos de realizar estas prácticas (páginas de descargas como The Pirate Bay), podrían ir directamente al cajón de baneados.
- Bloqueadores: del mismo modo que existen complementos como Adblock para la publicidad intrusiva, también los hay páginas de minado. Solo necesitaríamos buscar en la tienda de nuestro navegador (no importa si es Opera, Firefox o Chrome) y encontrarlo. Juan Corro aconseja dos: No Coin y Miner Block. De esta manera, bloquearán todos los scripts que estén en la lista negra creada por los fabricantes de las apps.
Imagina que un día como otro cualquiera entras en The Pirate Bay y no encuentras anuncios. No hay ningún banner, ni siquiera de porno. Sin embargo, el ordenador comienza a calentarse y los ventiladores se activan a máxima potencia: la página está utilizando tu procesador para minar monero, una ciptodivisa. La situación está lejos de ser una distopía. Sucedió en septiembre del 2017, y no es que sea un hecho aislado.
Además, el pasado mes de diciembre, un usuario de Forocoches advirtió que la web de Movistar ejecutaba en segundo plano un script (líneas de código) que redirigía a Coinhive, la cual permite minar aprovechando la CPU de todos aquellos que entren en una página. Según indicó la compañía a Hipertextual, todo se debía a un error. Estaban desarrollando una versión de prueba para protegerse contra posibles ataques de terceros y “se subió a producción sin haber eliminado previamente este tipo de código”.
Algo parecido ocurrió el pasado mes de diciembre los Starbucks de Buenos Aires, pero con una gran diferencia: en esa ocasión sí era un ataque informático. Un cliente, tras conectarse a la red wifi del establecimiento, descubrió las líneas de código que ejecutaban sin autorización el anteriormente mencionado CoinHive. La empresa reconoció el problema, y todavía hoy continúa sin saber quién fue el artífice tras el malware.
Los tres casos planteados (The Pirate Bay, Movistar y Starbucks) son diferentes entre sí, pero todos tienen el mismo resultado: conseguir dinero virtual empleando la CPU de otros. “Esta técnica se suele denominar cryptojacking, que se basa prácticamente en un ataque de fuerza bruta”, indica a eldiario.es Juan Corro, director académico del área de Ingeniería en el Centro Universitario U-tad. El tiempo dirá si se trata de una alternativa a la publicidad del banner o, por el contrario, de una práctica ligada al éxito de la, según algunos economistas, burbuja del Bitcoin.