¿Qué son y cómo funcionan los malwares de Bitcoin? 

1 ¿Cómo funciona el malware?

El malware funciona como un “intruso digital” que se infiltra en tu computadora o dispositivo sin permiso. Puede llegar oculto en archivos, correos electrónicos o páginas web y una vez dentro, empieza a ejecutar acciones ocultas: robar información, dañar archivos o incluso controlar tu equipo a distancia. Su objetivo suele ser aprovecharse de los recursos del usuario, ya sea para obtener dinero, datos o simplemente causar daño.

Imagina que tu computadora es una casa: el malware sería como un ladrón que entra por una ventana abierta sin ser detectado. Una vez adentro, puede espiar, robar objetos o desordenar todo sin que lo notes de inmediato.

2 Tipos de malware

El malware se presenta en distintas formas y actúa de manera diferente en función de su propósito específico: los virus y gusanos buscan propagarse, los troyanos y spyware engañan para robar datos, el ransomware y wipers destruyen o bloquean información, y las botnets y cryptojacking explotan recursos. Conocer sus tipos ayuda a entender cómo actúan y cómo protegerse.

3 ¿Qué son los virus informáticos?

Un virus informático es un tipo de malware que se adjunta a otros archivos y, al ejecutarse, generalmente por inadvertencia del usuario, se replica y se propaga. Su propósito es corromper datos, ralentizar el rendimiento del sistema e incluso propagar copias de sí mismo a otros sistemas en la misma red.

Los virus no pueden actuar por sí solos; dependen de la acción humana para activarse y necesitan un programa host para replicarse. En otras palabras, un virus no dañará tu sistema a menos que lo ejecutes. Fragmentos del código del virus se ocultan en otros programas ejecutables. Cuando un usuario inicia el programa, el virus también comienza a ejecutarse.

El virus Melissa, en 1999, atacó sistemas basados en Microsoft Word y Outlook. Este virus se propagó a través de archivos adjuntos de correo electrónico, lo que provocó fallos generalizados en los servidores y pérdidas estimadas en 1.100 millones de dólares a nivel mundial. Hasta el año 2000, los virus eran la clase dominante de malware, lo que llevó a que la industria dedicada a combatir el código malicioso se denominara «antivirus».

4 ¿Qué es un worm o gusano informático?

Los gusanos son un tipo de programa malicioso similar a los virus, en el sentido de que pueden autorreplicarse. La gran diferencia es que los gusanos pueden propagarse por sí mismos a través de sistemas, mientras que los virus solo pueden propagarse si un usuario ejecuta un programa comprometido.

Una vez que un gusano informático ha penetrado en la computadora, puede realizar varias acciones maliciosas: borrar archivos, consumir ancho de banda, sembrar otro malware como ransomware o spyware, robar datos, abrir una puerta trasera, agotar espacio en el disco duro o sobrecargar la red.

Si bien algunos gusanos no hacen más que propagarse, muchos tienen consecuencias más graves. Por ejemplo, WannaCry, ha sido hasta ahora el ciberataque de ransomware más famoso y destructivo de la historia. Ocurrió en mayo de 2017 y causó daños estimados en unos 4.000 millones de USD al lograr infectar a más de 230.000 computadoras en 150 países en cuestión de pocas horas.

Lo que hizo a WannaCry tan peligroso es que no era un ransomware común; era un criptogusano. Esto significa que combinaba la capacidad de secuestrar archivos con la habilidad de un gusano informático para contagiarse de una computadora a otra de forma automática, sin que ningún usuario cometiera el error de abrir un enlace o descargar un archivo.

5 ¿Qué es el malware cryptojacking y cómo funciona?

El cryptojacking (criptosecuestro) es un tipo de malware diseñado para minar criptomonedas utilizando la potencia informática de tu dispositivo (ya sea PC o móvil) sin tu conocimiento o consentimiento. Una vez instalado, el malware ejecuta procesos de minería en segundo plano, lo que consume capacidad de procesamiento de la CPU o GPU del dispositivo afectado, reduciendo su rendimiento y aumentando el consumo de energía.  

Básicamente, el hacker «secuestra» la capacidad de cómputo de tu dispositivo sin que tú lo sepas y la utiliza para minar criptomonedas —especialmente criptomonedas como Monero (XRM)— que luego enviará a su cartera digital. Así que ni siquiera es necesario que poseas criptomonedas para ser víctima de cryptojacking.

Este tipo de malware generalmente se distribuye a través de sitios web comprometidos, archivos adjuntos maliciosos o software no confiable, y puede afectar computadoras, teléfonos móviles y servidores.

El cryptojacking es ilegal, ya que involucra el uso no autorizado de los recursos informáticos de una persona o empresa para minar criptomonedas. Al hacerlo sin consentimiento, los atacantes violan leyes relacionadas con el acceso no autorizado a sistemas, fraude y hurto de recursos. Es una actividad ilegal y un delito cibernético.

¿Cómo saber si tengo cryptojacking?

Detectar la presencia del malware en un dispositivo puede ser clave para evitar daños mayores, como el daño del hardware por uso excesivo o sobrecarga. Algunas señales comunes incluyen:

• Lentitud extrema: El equipo se congela o responde muy tarde.
• Sobrecalentamiento: Los ventiladores funcionan sin parar y el aparato se siente caliente sin motivo.
• Batería agotada: La energía se gasta muy rápido en teléfonos o laptops.
• Alto consumo: Uso masivo de la CPU y de la electricidad.

6 ¿Qué es una botnet y cómo funciona?

Una botnet, “red de robots”, es una red de computadoras infectadas controladas de forma remota, y sin autorización, por un atacante único conocido como «bot-herder». Desde un punto de mando y control, el atacante puede dirigir cada computadora de su botnet para cometer un delito coordinado simultáneamente.

Estos dispositivos, llamados “bot”, se infectan a través de vulnerabilidades de seguridad, como software desactualizado o contraseñas débiles. Una vez comprometidos, pasan a formar parte de la botnet y pueden ser utilizados para generar grandes volúmenes de tráfico o realizar ataques masivos, como ataques DDoS, envío de spam o distribución de malware.

Las botnets no son intrínsecamente maliciosas y pueden utilizarse para tareas legítimas a gran escala y de carácter repetitivo, aunque se asocian habitualmente con usos delictivos. El principal riesgo de una botnet es su escala.

Uno de los ataques más impactantes en la historia de la ciberseguridad moderna fue el de Mirai, una de las redes de bots más conocidas. El 21 de octubre de 2016, Mirai lanzó un ataque DDoS contra la empresa Dyn, un proveedor clave de DNS. Al saturar sus servidores con tráfico proveniente de cientos de miles de dispositivos infectados, derribó temporalmente sitios como Twitter, Netflix, Amazon, Reddit y Spotify en gran parte de Estados Unidos y Europa. El tráfico alcanzó más de 1 terabit por segundo, una cifra inédita en ese momento.

Tras el ataque, el código fuente de Mirai fue publicado en foros clandestinos, lo que permitió la aparición de múltiples variantes y nuevos ataques basados en su arquitectura. Este incidente marcó un antes y un después en la seguridad de los dispositivos IoT, demostrando que incluso aparatos domésticos podían ser usados como armas digitales.

7 ¿Qué tipo de malware es CryptoLocker? 

CryptoLocker es un tipo de ransomware, un malware que cifra los archivos de la víctima y exige un pago en criptomonedas a cambio de la clave de descifrado. Apareció en 2013 y se distribuía principalmente a través de correos electrónicos con archivos adjuntos maliciosos, como documentos de Word o archivos ZIP infectados. Una vez que el usuario abría el archivo, el malware se ejecutaba y cifraba los documentos del sistema utilizando un fuerte algoritmo de cifrado RSA de 2048 bits, haciendo casi imposible su recuperación sin la clave privada. 

Como dato curioso, CryptoLocker fue creado por un grupo de ciberdelincuentes vinculado a la botnet Gameover Zeus, dirigida por el hacker ruso Evgeniy Mikhailovich Bogachev. Asimismo, se estima que los atacantes detrás de CryptoLocker obtuvieron entre $3 y $30 millones de dólares en pagos de rescate antes de que su infraestructura fuera desmantelada. 

Para desbloquear los archivos, CryptoLocker exigía un pago en Bitcoin o tarjetas de prepago, con un límite de tiempo, amenazando con borrar la clave de descifrado si no se realizaba el pago. Aunque las fuerzas de seguridad desmantelaron su infraestructura en 2014 mediante la operación Gameover Zeus, su impacto fue significativo y sentó un precedente para futuras variantes de ransomware. Desde entonces, muchos grupos criminales han adoptado estrategias similares, haciendo del ransomware una de las amenazas más lucrativas en el mundo del cibercrimen. 

8 ¿Cómo saber si tengo malware?  

Detectar la presencia de malware en un dispositivo puede ser clave para evitar daños mayores. Algunos signos comunes incluyen ralentización del sistema, aumento en el uso de CPU o memoria, fallos inesperados en programas y un sobrecalentamiento inusual del equipo. También es frecuente notar publicidad intrusiva, redirecciones a sitios web desconocidos o la instalación de programas no autorizados. 

Otros indicios pueden ser cambios en la configuración del sistema, como la modificación de la página de inicio del navegador o la aparición de extensiones desconocidas. En casos más graves, el usuario puede perder el acceso a archivos debido a ransomware o notar actividad sospechosa en cuentas en línea si el malware incluye un keylogger o spyware. 

Para confirmar una infección, se recomienda usar un antivirus o un escáner de malware actualizado, además de revisar manualmente programas en ejecución y el consumo de recursos en el administrador de tareas. Si se sospecha una infección, lo mejor es desconectar el dispositivo de internet, ejecutar un análisis en modo seguro y eliminar el malware antes de que cause más daños. 

Ahora bien, ¿cómo se activa un malware? Pues generalmente cuando el usuario realiza alguna acción que permite su ejecución o cuando se explotan vulnerabilidades en el sistema. Esto puede ocurrir al abrir un archivo adjunto malicioso en un correo electrónico, hacer clic en un enlace infectado en un sitio web, o descargar un archivo de una fuente no confiable.  

También puede activarse si un dispositivo está expuesto a una red comprometida o si el sistema tiene vulnerabilidades de seguridad no corregidas, como software desactualizado. Una vez ejecutado, el malware puede funcionar de manera inmediata o permanecer oculto hasta que se cumplan ciertas condiciones, como el reinicio del dispositivo o la ejecución de un proceso específico. 

9 ¿Qué es el ransomware y cómo funciona?

Su nombre viene de unir las palabras en inglés «ransom» (rescate) y «malware» (software malicioso), algo que lo define muy bien: consiste en un programa que, tras instalarse sin permiso, bloquea el acceso al computador o dispositivo móvil, o cifra la mayor parte de los archivos o todo el disco duro, volviéndolo inaccesible para el usuario. A cambio de recuperar el acceso, los hackers solicitan a la víctima un rescate (pago), usualmente en criptomonedas.

El ransomware se ha convertido en el arma preferida de los ciberdelincuentes porque exige un pago rápido y rentable en criptomoneda difícil de rastrear.

Este malware es anterior incluso a la Internet. Las primeras variantes de ransomware se desarrollaron a finales de la década de 1980, y el pago se enviaba por correo postal. Su gran auge se dio cuando, a partir de 2013, los autores del ransomware empezaron a utilizar bitcoin y otras criptomonedas como medio de pago.

Los tipos de ransomware  

Hay dos tipos generales de ransomware: ransomware de cifrado y ransomware sin cifrado o de bloqueo de pantalla.

Ransomware de cifrado

El tipo más común, llamado ransomware de cifrado o cripto ransomware, secuestra los datos de la víctima encriptándolos. El atacante exige un rescate a cambio de proporcionar la clave de cifrado necesaria para descifrar los datos.

Ransomware sin cifrado

Esta es la forma menos común de ransomware: bloquea todo el dispositivo de la víctima, generalmente impidiendo el acceso al sistema operativo. En lugar de iniciarse normalmente, el dispositivo muestra una pantalla con la exigencia de rescate.

Estos dos tipos generales se dividen en las siguientes subcategorías:

Leakware o doxware: es un ransomware que roba o extrae datos confidenciales de personas o empresas y amenaza con publicarlos. Mientras que las formas anteriores de leakware y doxware a menudo robaban datos sin cifrarlos, las variantes actuales suelen hacer ambas cosas.

Ransomware móvil: incluye todo el ransomware que afecta a los dispositivos móviles. La mayoría de los ransomware móviles, que se distribuyen a través de aplicaciones maliciosas o descargas no autorizadas, son ransomware sin cifrado. Los piratas informáticos prefieren los bloqueadores de pantalla para los ataques móviles porque las copias de seguridad automatizadas de datos en la nube, estándar en muchos dispositivos móviles, facilitan revertir los ataques de cifrado.

Wipers disfrazado: la característica definitiva de un ransomware es creer que una clave de descifrado existe para recuperar los archivos o el dispositivo una vez se pague el rescate. Pero tal no es el caso de los wipers que se hacen pasar por ransomwares, pues estos son programas más bien destinados a eliminar los archivos o a encriptarlos sin posibilidad alguna de recuperación. Pese a ello, los hackers incluyen solicitudes de rescate en wipers, con la intención de recibir los fondos, aunque no puedan recuperar esos archivos realmente.

Scareware: Es exactamente lo que su nombre indica: ransomware que intenta asustar a los usuarios para que paguen un rescate. El scareware puede hacerse pasar por un mensaje de una agencia policial, acusando a la víctima de un delito y exigiendo el pago de una multa. También puede simular una alerta legítima de infección por virus, incitando a la víctima a comprar ransomware disfrazado de software antivirus.

A veces, el scareware es el propio ransomware, que cifra los datos o bloquea el dispositivo. En otros casos, es el vector del ransomware: no cifra nada, pero obliga a la víctima a descargar el ransomware.

Ransomware-of-Things (RoT): si bien no es muy usual, puede ser el tipo más peligroso de ransomware, ya que tiene la capacidad no sólo de secuestrar datos, sino también de secuestrar cualquier cosa conectada a Internet. Esto incluye termostatos, luces, cerraduras electrónicas y, en teoría, hasta automóviles. Un ataque reconocido de RoT sucedió en un hotel austríaco en 2017, donde los residentes quedaron atrapados en sus habitaciones o fuera de ellas cuando las cerraduras fueron secuestradas, hasta que los administradores decidieron pagar el rescate en bitcoin.

Consejos para evitar ataques con ransomware 

En todo caso, el ransomware aún está lejos de desaparecer. Para combatirlo, puedes tomar en cuenta estas medidas: 

• Mantén siempre respaldos de toda tu información fuera de línea, en discos duros externos o memorias no conectadas de ninguna manera con el dispositivo de origen. 
• Mantén actualizado el firmware de todos los dispositivos inteligentes para no dejar abiertas vulnerabilidades. 
• Asegúrate de que tu firewall bloquee el puerto predeterminado del Protocolo de Escritorio Remoto (RDP), pues puede ser usado para dar entrada a la instalación de ransomware. 
• No se recomienda pagar el rescate en ningún caso, pues no es nada seguro que los archivos sean devueltos tras pagarlo. Se debería contactar a la fuerza de seguridad encargada de los delitos cibernéticos en la región o a un hacker de sombrero blanco. 
• Muchos tipos de ransomware ya pueden ser descifrados sin necesidad de contactar con el hacker. En la página de No More Ransom, disponible en varios idiomas, se pueden encontrar las herramientas necesarias para deshacerse de diversas variantes de este malware. 

10 ¿Qué es un Keylogger? 

Los keyloggers (abreviatura de «keystroke logging», en español registrador de pulsaciones de teclas) son una clase de tecnología que permite monitorear y grabar cada pulsación en un teclado específico, que puede ser tanto de móviles como de equipos de escritorio.  

En ocasiones, un keylogger también puede registrar clics, audio y video. De esta forma, es posible averiguar desde conversaciones privadas hasta credenciales y contraseñas, si su uso no es ético.  

Tipos de keyloggers 

Existen dos tipos de keylogger, y sólo uno de ellos puede utilizarse por completo a distancia.  

Este último es un programa que consiste, por lo general, en dos archivos (un almacenador y un ejecutable) que se instalan en el mismo directorio del equipo afectado, graban cada pulsación de las teclas y envían los resultados al administrador del software cada cierto tiempo.  

El administrador, por supuesto, puede ser un hacker que haya esparcido el malware mediante phishing, programas no oficiales, extensiones de trading de criptoactivos en el navegador e inclusive sitios web legítimos que han sido infectados. 

El otro tipo de keylogger es un dispositivo de hardware que se conecta al computador o directamente al teclado. Puede ser un cable conector entre el CPU y el teclado, un adaptador USB o un pequeño módulo con su propio disco duro miniatura que se instala dentro del mismo teclado. 

Para averiguar su contenido, es necesario recuperar el aparato, por lo que, al menos en el ecosistema, no se han registrado usos maliciosos de este método. Sin embargo, es perfectamente posible averiguar claves privadas de esta forma.

Consejos para evitar keyloggers 

Para cuidarse contra este método puedes aplicar lo siguiente: 

• Los antivirus y antispyware pueden llegar a saltarse los keyloggers maliciosos, tomándolos por aplicaciones legítimas. Por eso, existen programas específicos para la detección y eliminación de este malware: los antikeyloggers. Es recomendable hacerse con uno y correrlo en el equipo. 
• Si utilizas tus credenciales desde un dispositivo de confianza, puedes grabarlas en el navegador (en lugar de escribirlas cada vez) o en un programa para el manejo de contraseñas. 
• Funciones como el Control de Cuentas de Usuario (control de cuentas de usuario o UAC), presente desde Windows 7-8-10, deberían mantenerse activadas. De esta forma, ningún programa podrá instalarse sin permiso explícito del administrador. 
• Otra opción son las contraseñas de un solo uso (OTP), válidas sólo para una autenticación. Están disponibles en línea varios generadores de OTP, e inclusive algunos sitios, como Facebook, ofrecen esta alternativa para iniciar sesión. 

• En el caso de los keylogger de hardware, la inspección visual se hace necesaria. 

11 ¿Qué es un Malware RAT (Remote Access Trojan)?

Los troyanos de acceso remoto (RAT, por sus siglas en inglés), son programas que se instalan en el equipo, usualmente disfrazados de otro, y crean una ‘puerta trasera’ para traspasar la seguridad del sistema y controlarlo a distancia.  

Dado que permite el uso como administrador del equipo, es posible para un hacker instalar nuevos programas (como keyloggers), acceder a toda la información almacenada (incluyendo credenciales y contraseñas), activar la cámara, tomar capturas de pantalla, modificar archivos y hasta formatear la memoria. En otras palabras, es como si tuviera la PC en frente de él. 

No obstante, un RAT siempre busca causar los menores síntomas posibles, usando el mínimo disponible de recursos para no delatar la actividad maliciosa. De igual modo llega al equipo: el usuario puede estar descargando cualquier aplicación, como algún juego, sin saber que viene acompañada por el malware que se instalará en segundo plano, sin su consentimiento. Incluso, ciertos bots de Telegram pueden estar infectados. 

En cuanto al ecosistema, las «carnadas» suelen ser aplicaciones no oficiales de trading o de algún modo relacionadas con las criptomonedas.

Consejos para evitar un RAT 

Si bien los RAT no son tan populares como el cryptojacking y el ransomware, sí puede afirmarse que son más peligrosos, pues tienen la capacidad de secuestrar a distancia casi todas las funciones del dispositivo infectado. Para cuidarse de ellos, te recomendamos: 

• Bloquea cualquier puerto que no estés utilizando y desactiva los servicios que requieren conexión a Internet mientras no estés usándolos. 
• Monitorea tu tráfico de red. Para ello están disponibles varias herramientas en línea, que pueden mostrarte un seguimiento de las conexiones realizadas, incluyendo hora, duración, puerto y programa. De esta forma, es posible detectar intrusos. 
• Antes de descargar cualquier aplicación relacionada a criptomonedas, asegúrate de buscar críticas y reseñas al respecto; así como averiguar cuál es su página oficial o la vía más segura para conseguirla. 

12 ¿Cuáles son los secuestradores de portapapeles?

Se trata de un tipo de software malicioso que está diseñado para robar o modificar la información que hemos copiado.  

Esta clase de malware ha demostrado incidencias desde principios de siglo, aunque su adaptación al criptomundo es un tanto distinta a sus predecesores. Usualmente esparcen por medio de exploits (comandos) incluidos, sobre todo, en anuncios de actualizaciones.  

Una vez que la víctima cae en la trampa, el malware se instala y toma posesión de su portapapeles (donde se archivan los datos para copiar y pegar), sin permitir más copiado hasta que el equipo se reinicia. Y allí se reemplaza el contenido con el link a algún sitio web malicioso. 

El secuestrador de portapapeles más conocido dentro del ecosistema de las criptomonedas es el troyano CryptoShuffler, descrito por Kaspersky Lab a finales de 2017. Este se disfraza de un programa aparentemente inofensivo que la víctima acaba descargando sin saber su verdadera naturaleza.  

Una vez en el equipo, también secuestra el portapapeles pero con instrucciones de reemplazo muy específicas: en lugar de dejar algún link o no permitir nuevos datos, el CryptoShuffler detecta cuando se copia la dirección de un monedero de criptomonedas (línea alfanumérica bastante característica) y la reemplaza por otra, perteneciente al hacker, para que el usuario desprevenido envíe allí los fondos en lugar de al destinatario legítimo. 

Las direcciones que puede llegar a detectar incluyen las de Bitcoin, Ethereum, Zcash, Monero y Dash. En promedio, estos malware pueden monitorear unas 600 mil direcciones para llevar a cabo el reemplazo, pero Bleeping Computer detectó uno a mediados de 2018 que ha estado monitoreando más de 2,3 millones de direcciones.

Consejos para evitar el secuestro de portapapeles   

• Revisa que tu antivirus incluya la detección del CryptoShuffler y otros Clipboard Hijackers. 
• Antes de enviar cualquier cantidad de fondos, asegúrate de que la dirección de destino sea la correcta. Si puedes utilizar el código QR de la cartera, mejor. 
• Este malware no produce ningún síntoma en el equipo, así que es difícil notar que está allí. Por eso, aun si tienes un antivirus activo, presta atención al momento de manejar tus carteras digitales.