Minería en sitios web, la nueva fiebre del oro virtual
"Todo dispositivo capaz de ejecutar un conjunto de instrucciones puede servir de plataforma para minar criptomoneda".
Dicho así, parece una ley inmutable. De esas que aparecen en los memes motivacionales al lado de una foto de alguien muy relajado mientras se quema un datacenter de fondo. De hecho, si hubiese salido de un gurú, estaría rebotando por twitter o cualquier otra red social. No sabemos si posee un rango de ley, pero básicamente nos ayuda a transmitir la idea principal.
Si ayer se troyanizaban ordenadores de escritorio para crear botnets y alquilar el panel de control para echar abajo los servidores de la competencia, ahora se cierra la puerta y se quita el cartel de "Se alquila, razón aquí". Eso es cosa del pasado, ya no es rentable. Ahora no se desperdician ciclos de CPU en tareas gañanas.
No hombre, no. Ahora lo que se lleva es el minado. Da igual que tengas acceso a un cluster de computación de altas prestaciones o un smartwatch. O si eres root en cien mil dispositivos IoT. El nuevo 'in' es triturar 'nonces' para ver si nos ha tocado el hash que lleva el premio gordo.
Y que no sea por falta de criptomonedas, oiga. Dentro de poco, hasta las comunidades de vecinos tendrán la suya propia (ojo, es una ironía), así podremos poner a minar los contadores de la luz, esos que ahora son digitales. Bueno, mejor no, no vaya a ser que a golpe de decreto ley se queden con nuestros 'vecinocoins'. Vamos a dejarlo aquí, no demos ideas.
El cibercrimen no para de encontrar vías de recaudación para su negocio (el uso involuntario, y si es posible inadvertido, de lo ajeno) Si antes utilizaban nuestro ancho de banda como arma de ataque o nuestro disco duro para crear su propia nube privada, la CPU es usada ahora para minar criptomoneda. Al abordaje.
No en vano, ya no hace falta dar con uno de esos bichitos que pululan por ahí, en lo salvaje. Que del mismo modo que te roba las credenciales que va pillando y, si existe, la "wallet.dat", te pone la CPU a punto de cromo quemado para extraer el dinero digital. Con tan solo visitar una web ya podemos estar pagando un peaje en ciclos de silicio mientras dura nuestra estancia en el sitio. Ni tan siquiera hace falta que sea una web turbia, de las que se visitan "accidentalmente".
El caso más sonado, de entre muchos, es el de "The Pirate Bay". Visitas la web, cargas el infame 'coinhive.min.js' (ojo, puede llamarse de cualquier modo, el nombre es lo de menos) y en pocos segundos tu CPU empieza a fibrilar dando mazazos con su pico virtual:
Ahí lo tenemos, soplando a pleno pulmón.
Para algunos sitios webs, cuya fuente de ingresos suele ser la publicidad, es normal que recurran a vías alternativas de financiación, sobre todo con el alza de los bloqueadores de publicidad o proyectos como Pi-Hole. Quizás incluso más de uno esté dispuesto a donar esos ciclos de CPU a cambio de la lectura de artículos, etc. Porque de algo tienen que vivir ¿no? No es mala opción, yo daría un ratito del núcleo #2 a cambio de que no me estampen un anuncio a pantalla completa mientras hago scroll (la nag screen del siglo XXI).
El problema aparece cuando se hace con inquina. Hackean un sitio web, meten el minero y a esperar que saque dineros hasta que alguien se da cuenta y el responsable arregla el desaguisado. Incluso es tal la avaricia que aunque estos scripts poseen un nivel de consumo, en la mayor parte de los casos se les quita el freno y cabalgan a toda máquina, alertando así a los usuarios. Aun más, suelen desplegar una ventana minimizada con el minero, para pasar desapercibidos aunque el usuario crea que ha cerrado todas las pestañas. Todo un gesto de supervivencia.
Otro problema asociado es en dispositivos móviles. Minar en un móvil es sinónimo de acabar en pocos minutos con la batería del dispositivo (si has jugado a algún juego con gran carga gráfica puede que lo hayas experimentado). De nuevo, estos scripts suelen traer de fábrica la detección de móviles. En ese caso no proceden a ejecutarse, pero, por supuesto, en el caso de sitios malogrados este script es configurado para ejecutarse en estas plataformas, tan sensibles al gasto energético.
Por otro lado, tenemos un arsenal de anti-mineros que se basan en listas negras de sitios o scripts con contenido conocido. Su uso es similar, sino es que está incluido, a los anti-ads o bloqueadores de publicidad. No es una solución elegante (no escala nada bien), pero funciona, de momento, aunque y ya existen anti-anti-adblocks que previenen la prevención (valga la redundancia):
De momento, ya sea por una gráfica de consumo de CPU disparada o el chivato del ventilador de la CPU, en ocasiones, los mineros son pillados in fraganti sacando tajada del micro por el propio usuario. El problema es cuando meten un minero en firmware de un router perdido, bajan el consumo de CPU por debajo del radar o detienen su actividad si observan que el usuario está activo.
El futuro está en la mina. De eso no hay duda, pero eso nos va a costar un buen recibo en algunos casos. Muchos dejan su equipo encendido durante horas o días, una visita a la web equivocada podría dejar un script de minería rodando durante ese tiempo, con lo que podríamos machacar el equipo y terminar pagando un buen pico en el recibo de la luz.
