Edición de «Criptojacking»

El '''Criptojacking''', también llamado '''Criptominado malicioso''' o '''Criptosecuestro''', en inglés ''Cryptojacking'' (derivado de la combinación de los vocablos ''Cryptocurrency'' , criptomoneda, y ''Hijacking'', secuestro<ref name="osi18">[https://www.osi.es/es/actualidad/blog/2018/08/01/cryptojacking-el-nuevo-fraude-de-los-ciberdelincuentes Cryptojacking, el nuevo fraude de los ciberdelincuentes]. osi.es. 1 de agosto de 2018</ref>), consiste en el secuestro de un dispositivo electrónico sin el consentimiento o conocimiento del usuario, para aprovechar sus recursos en el [[Criptomoneda#Minado|minado de criptomonedas]].<ref>[https://www.incibe.es/aprendeciberseguridad/cryptojacking Cryptojacking]. incibe.es</ref> 

La criptomoneda más usada para minar en este tipo de ataques es [[Monero (criptomoneda)|Monero]] debido a sus características de privacidad y anonimato y por tanto las transacciones no se pueden trazar.<ref>[https://www.kaspersky.es/resource-center/definitions/what-is-cryptojacking ¿Qué es el cryptojacking? Definición y explicación]. kaspersky.es</ref><ref>[https://www.xataka.com/criptomonedas/que-criptodivisa-monero-se-ha-convertido-protagonista-uno-secuestros-sonados-ultimos-tiempos Por qué la criptodivisa Monero se ha convertido en la protagonista de uno de los secuestros más sonados de los últimos tiempos]. Javier Pastor. xataka.com. 10 de enero de 2019</ref><ref name="enisa">[https://www.enisa.europa.eu/publications/report-files/ETL-translations/es/etl2020-cryptojacking-ebook-en-es.pdf Cryptojacking]. ENISA 2020.</ref> Además, [[Sistema de prueba de trabajo|algoritmo Proof-of-Work]] de Monero ([[CryptoNight]]<ref>[https://bitcoin.es/criptomonedas/cryptonote-brinda-mejor-privacidad/ CryptoNote y CryptoNight: un manto de invisibilidad que borra las huellas de tus transacciones]. Abelardo Madrid. bitcoin.es. 29 octubre 2018 </ref>) se ha diseñado para hacer que las actividades de minería sean viables con una CPU estándar en vez de requerir grandes cantidades de recursos o incluso [[hardware]] especializado.<ref name="enisa"/><ref>[https://academy.binance.com/es/articles/what-is-cryptojacking Qué es el criptojacking?]. 28 de noviembre de 2018</ref> También es habitual el criptosecuestro para minado de [[Bitcoin]] y [[Ethereum]] debido a su alto valor en el mercado.<ref>[https://empresas.blogthinkbig.com/cryptojacking-parte1/ Cryptojacking: Amenaza latente y creciente. Parte 1 de 4]. Diego Samuel Espitia. 16 agosto, 2018 </ref>

El éxito de este tipo de ataque se debe a que es fácil de efectuar y automatizar, además de la dificultad de detectar su presencia en el dispositivo infectado.<ref name="osi18"/>

Cualquier dispositivo puede ser objetivo de este tipo de secuestro.<ref name="osi18"/> Por ejemplo [[supercomputador]]es,<ref>[https://es.cointelegraph.com/news/two-russians-charged-with-illicitly-mining-crypto-on-state-hardware Acusan a dos rusos de minar criptomonedas ilegalmente en computadoras estatales]. Marie Huillet. cointelegraph.com. 17 de diciembre de 2019</ref><ref>[https://es.beincrypto.com/nuevo-sistema-ia-protege-supercomputadoras-contra-cripto-jacking/ Nuevo sistema de IA protege a las supercomputadoras contra el cripto-jacking]. Rick D. beincrypto.com. 21 de agosto de 2020</ref>servidores, [[router]]s,<ref name="bij">[https://www.cyber-threat-intelligence.com/publications/CCS2019-router.pdf Just the Tip of the Iceberg: Internet-Scale Exploitation of Routers for Cryptojacking]. Hugo L.J. Bijmans, Tim M. Booij and Christian Doerr. 2019. In 2019 ACM SIGSAC Conference on Computer& Communications Security (CCS’19), November 11–15, 2019, London, United Kingdom. ACM, New York, NY, USA, 16 pages. https://doi.org/10.1145/3319535.3354230</ref> ordenadores personales, consolas de juegos, tabletas, dispositivos móviles, dispositivos inteligentes y dispositivos IoT.<ref name="osi18"/><ref name="dmon"/>
==Tipos==
Podemos clasificar los criptosecuestros en función de su modo de funcionamiento en:
*'''Criptosecuestro basado en navegador'''.
*'''Criptosecuestro basado en routers'''.
*'''Criptosecuestro basado en archivos'''
*'''Criptosecuestro en la nube'''

===Criptosecuestro basado en navegador===
Consiste en que el [[servidor web]] envía código manipulado donde se inyecta el código malicioso en el navegador. Una vez que el usuario cierra el navegador o el proceso afectado, el dispositivo dejaría de realizar acciones de minado.<ref name="osi18"/><ref name="dmon">[https://criptomundo.com/que-es-el-cryptojacking/ ¿Qué es el Cryptojacking?]. Dora Montaner. criptomundo.com. 17 de mayo de 2021</ref>

Este tipo de criptosecuentro empezó en 2017 cuando la empresa alemana de servicios web [[Coinhive]] desarrolló un javascript que al instalarlo en el sitio web permitía realizar minería para la criptomoneda [[Monero (criptomoneda)|Monero]].<ref name="dmon"/><ref name="cimpanu">[https://www.zdnet.com/article/browser-based-cryptojacking-sees-sudden-spike-in-activity-in-q2-2020/ Browser-based cryptojacking sees sudden spike in activity in Q2 2020]. Catalin Cimpanu. zdnet.com. 25 de agosto de 2020</ref> De esta forma se permitía a los propietarios de sitios web obtener ingresos alternativos a la visualización de anuncios.<ref name="dmon"/> 

Inicialmente, el acuerdo era abierto, transparente y consensuado entre los visitantes y los propietarios del sitio web.<ref name="dmon"/> Sin embargo, los ciberdelincuentes pronto vieron el potencial lucrativo y comenzaron a colocar en secreto en miles de sitios web versiones modificadas de la biblioteca de Coinhive pero mandando los ingresos a los grupos delictivos.<ref name="dmon"/><ref name="cimpanu"/> 

Poco a poco, los fabricantes de navegadores, al ver la expansión del minado ilícito a través de navegadores que relentizaban los sitios web, comenzaron a implementar funciones de seguridad para detectar y bloquear este tipo de operaciones.<ref name="cimpanu"/> En 2018, Google prohibió las extensiones web que extrajeran criptomonedas de [[Chrome Web Store]].<ref name="dmon"/> 

En marzo de 2019, los operadores de Coinhive anunciaron que iban a cerrar, citando varias razones, incluida la creciente dificultad y eficiencia en la extracción de [[Monero (criptomoneda)|Monero]] dentro de los navegadores web.<ref name="cimpanu"/> Además, se publicaron artículos demostrando que la ineficiencia del cryptojacking para generar ingresos, a pesar de su popularidad entre los grupos de delitos cibernéticos, con solo tres anuncios clásicos en línea que generaban 5,5 veces más ingresos que un script de cryptojacking basado en la web.<ref name="cimpanu"/> Estas fueron las razones por las que después del cierre de Coinhive se redujeron a niveles casi inexistentes el criptojacking basado en el navegador, ya que la mayoría de las bandas de delitos cibernéticos pasaron a otras tácticas.<ref name="cimpanu"/>

===Criptosecuestro basado en routers===
El funcionamiento en este tipo de criptosecuestro es similar al criptosecuestro basado en navegadores, salvo que el origen del código malicioso no está en un servidor web modificado, si no en un router con código malicioso que modifica el tráfico para introducir dicho código.<ref name="bij"/> Es decir, aprovechándose vulnerabilidades de los routers, se instala software que reescribe el tráfico del usuario y embebe código de criptominado en cada conexión a cualquier web.<ref name="bij"/> De esta forma cualquier página web visitada por cualquier usuario detrás de router infectado realizaría procesos de minado a favor de los ciberdelincuentes.<ref name="bij"/>

Observar que la inyección puede funcionar en ambos sentidos, para el tráfico que llega al usuario y, si por ejemplo, un sitio web está alojado en una red local detrás de un router afectado, el tráfico a ese sitio web también se inyectará con el código malicioso.<ref name="itdig"/>
 
En 2019, [[Interpol]] lideró una operación en el [[Sudeste Asiático|sudeste asiático]] que redujo el cryptojacking en un 78% en la zona.<ref  name="cripto">[https://www.criptomoneda.com.es/la-operacion-de-interpol-reduce-el-criptojacking-del-sudeste-asiatico-en-un-78/ La operación de Interpol reduce el criptojacking del sudeste asiático en un 78%]. criptomoneda.com.es/</ref> Las autoridades de los países participantes recibieron pautas para detectar y eliminar el [[malware]] malicioso parcheando enrutadores infectados.<ref  name="cripto"/> El ataque se aprovechaba de una vulnerabilidad publicada, que no había sido parcheada en miles routers, para cambiar su configuración e inyectar un script de minería de criptomonedas en algunas partes del tráfico web.<ref name="itdig">[https://www.itdigitalsecurity.es/actualidad/2018/08/una-campana-masiva-de-cryptojacking-infecta-mas-de-200000-routers Una campaña masiva de cryptojacking infecta más de 200.000 routers]. itdigitalsecurity.es. 3 de agosto de 2018</ref> Algunos ISP usaban estos routers para su red principal, lo que permitió al atacante inyectar el código malicioso en una gran cantidad de tráfico web.<ref name="itdig"/>

===Criptosecuestro basado en archivos===
Consiste en la instalación de malware en los propios dispositivos. Este malware es el que se encarga de realizar el minado de criptomonedas. La instalación en  como en cualquier otro tipo de malware. Puede originarse en el contenido en archivos adjuntos en correos electrónicos, instalación de plugins modificados, aprovechamiento vulnerabilidades, contraseñas débiles, [[gusano informático|gusanos]], ...

En este tipo de infección, al estar instalado en el propio del dispositivo es más difícil eliminar.<ref name="osi18"/><ref name="dmon">[https://criptomundo.com/que-es-el-cryptojacking/ ¿Qué es el Cryptojacking?]. Dora Montaner. criptomundo.com. 17 de mayo de 2021</ref>

Este tipo de malware puede realizar, además del criptominado, otro tipo de técnicas maliciosas y formar sus propias [[botnet]]s. Por ejemplo, la botnet [[Smominru]] realiza criptominado para la criptomoneda [[Monero (criptomoneda)|Monero]] y también permite el robo de información y captura de credenciales.<ref name="help"/><ref name="mhacks">[https://blogs.masterhacks.net/noticias/criptomonedas/la-botnet-smominru-hackeo-mas-de-90-mil-computadoras-el-ultimo-mes/ La botnet Smominru hackeó más de 90 mil computadoras el último mes]. masterhacks.net. 18 de septiembre de 2019</ref> Esta red ha sido detectada desde 2017 y en 2020 se estimaba que estaba compuesta por más de 500.000 nodos.<ref name="help">[https://www.helpsystems.com/es/blog/que-es-la-botnet-smominru-y-que-hacer-ante-un-ataque-de-este-malware ¿Qué es la botnet Smominru y qué hacer ante un ataque de este malware?]. helpsystems.com. 26 de febrero de 2020</ref> El objetivo de este malware son servidores [[Microsoft Windows|windows]], los cuales están encendidos todo el tiempo, de pequeño tamaño.<ref name="mhacks"/><ref name="help"/>

===Criptosecuestro basado en la nube===
La característica que más atrae de la nube para el criptosecuestro es el aumento en la capacidad de computo según las necesidades de consumo.<ref name="esp2">[https://empresas.blogthinkbig.com/cryptojacking-parte2-ciberseguridad/ Cryptojacking: Amenaza latente y creciente. Parte 2 de 4]. Diego Samuel Espitia. blogthinkbig.com. 23 agosto, 2018 </ref> Esto logra que sea casi imperceptible la presencia de minadores dentro de la infraestructura de las empresas, tanto el aumento de uso de CPU y el consumo eléctrico es algo que se contempla como normal en los montajes en la nube.<ref name="esp2"/>

Para poder tener acceso a los recursos en la nube es frecuente:
*Búsqueda en el código o archivos de una organización con la esperanza de encontrar las claves API para acceder al servicio en la nube.<ref name="clario"/> 
*Aprovechar los errores de configuración que dejan los administradores en el momento de realizar las migraciones.<ref name="esp2"/>
*Aprovechar las nuevas vulnerabilidades de los sistemas y mecanismos de administración de la [[computación en la nube]].<ref name="esp2"/>

A partir del acceso instalan software y usan los recursos de la CPU para extraer criptomonedas.<ref name="clario">[https://clario.co/blog/what-is-cryptojacking/ An Overview of Cryptojacking & Useful Tips on How to Prevent Cryptojacking]. Ruslana Lishchuk. clario.co. 17 de febrero de 2021</ref>

En febrero de 2018, FireEye, publicó como los delincuentes aprovecharon una vulnerabilidad de los servidores Oracle en entornos en la nube para inyectar minadores en la configuración de Oracle WebLogic Server Security.<ref name="esp2"/> En el mismo mes, L.A. Times sufrió un ataque que aprovechó vulnerabilidades en [[Amazon Web Services]] S3 para inyectar javascript que hacía que los visitantes de su web minaran para los delincuentes.<ref name="esp2"/>

En 2018, al no modificarse la contraseña de gestión por defecto del administrador del sistema, se introdujo código de criptojacking en los nodos de Kubernetes de [[Tesla]].<ref name="esp2"/><ref>[https://www.wired.com/story/cryptojacking-tesla-amazon-cloud/ Hack Brief: Hackers Enlisted Tesla's Public Cloud to Mine Cryptocurrency].Lily Hay Newman. wired.com. 20 de febrero de 2018</ref>

==Detección==
Debido a que el proceso de minado requiere de un alto grado de uso del procesador y de la conexión a internet, los principales síntomas son que funcionan lento, se quedan colgados constantemente o que la velocidad de conexión a Internet se ralentiza.<ref name="osi18"/> Además, el uso de los dispositivos al máximo rendimiento provoca otra serie de indicadores físicos, como sobrecalentamiento de los componentes y un alto consumo de energía eléctrica.<ref name="osi18"/>

Para aumentar la dificultad de la detección, los ciberdelincuentes ha ido distintas estrategias como por ejemplo:
*Algoritmos de minado ligeros que dificultan enormemente su detección.<ref>[https://academy.binance.com/es/articles/common-scams-on-mobile-devices Estafas Habituales en Dispositivos Móviles]. WhoTookMyCrypto.com. 13 de mayo de 2019</ref>
*Detener la minería cuando se detecta la actividad del mouse para que el usuario del dispositivo no sepa que está infectado.<ref name="dmon"/>
*Operar muy por debajo del 100% de potencia de procesamiento.<ref name="dmon"/>

==Referencias==
{{listaref}}

{{Control de autoridades}}
[[Categoría:Malware]]
[[Categoría:Criptomonedas]]