¿Qué es el criptojacking? Tipos y ejemplos reales

En los últimos años, el criptojacking se ha convertido en una de las amenazas de ciberseguridad más graves. Es un ciberataque que roba recursos informáticos para minar criptomonedas sin autorización. La minería no autorizada puede causar grandes pérdidas económicas al sector financiero. Las organizaciones también afrontan mayores costos operativos por los daños al hardware y el aumento del consumo energético.

En este blog, explicaremos qué es el criptojacking y analizaremos algunas técnicas de ataque, métodos de detección y estrategias de defensa. También veremos cómo los atacantes propagan malware de minería mediante diversos vectores de ataque, incluidos los indicadores de compromiso más comunes, y describiremos las mejores formas de protegerse frente a estas amenazas.

¿Qué es el criptojacking?

El criptojacking consiste en secuestrar dispositivos informáticos para minar criptomonedas. Los atacantes introducen malware para que el dispositivo afectado resuelva los complejos cálculos matemáticos necesarios para la minería. La minería es el proceso mediante el cual se verifican y registran las transacciones de criptomonedas en la cadena de bloques.

La minería requiere mucha capacidad de procesamiento. Los atacantes secuestran sistemas y utilizan sus CPU y GPU para minar. Suelen centrarse en criptomonedas cuya minería sigue siendo rentable con hardware informático convencional, como Monero ( cuyo algoritmo de minería funciona bien con CPU).

¿Por qué es tan peligroso el criptojacking?

El criptojacking puede causar graves daños a las organizaciones: puede operar durante mucho tiempo a escala sin ser detectado. Afecta directamente al rendimiento del sistema porque consume recursos de CPU para minar. Este uso puede deteriorar el hardware, especialmente en sistemas que funcionan 24/7 al límite de su capacidad o cerca de él.

Esta amenaza no se limita a dispositivos individuales. El malware de criptojacking suele tener características similares a las de un gusano que le permiten propagarse por las redes. Busca otros sistemas vulnerables dentro de la red y crea una red de nodos de minería. Este comportamiento amplía la superficie de ataque y dificulta su eliminación.

Impacto del criptojacking

El impacto económico del criptojacking no es lineal. Cuando varios sistemas funcionan a máxima capacidad, los costos de electricidad se disparan. El desgaste continuo obliga a reemplazar el hardware. Además del bajo rendimiento, esto puede causar pérdidas de tiempo considerables al desplegar estos servicios y aumentar el riesgo de interrupciones. Entre las consecuencias empresariales también se incluyen las siguientes:

• Incumplimiento normativo por ejecutar código no autorizado
• Riesgo de responsabilidad legal por actividades de minería no autorizadas

La huella ambiental también es considerable. Cuando los atacantes se dirigen a centros de datos o infraestructura de nube, las operaciones de criptojacking alcanzan gran escala y aumentan significativamente el consumo de energía y las emisiones de carbono.

Síntomas comunes del criptojacking

Los administradores de sistemas pueden detectar el criptojacking por algunas señales habituales. El uso elevado de la CPU persiste incluso cuando el sistema está inactivo y no hay aplicaciones de usuario en ejecución. En el Administrador de tareas o en una herramienta de supervisión aparecen procesos desconocidos que consumen muchos recursos.

La supervisión de la red suele revelar este patrón. Los sistemas infectados mantienen conexiones salientes con el pool de minería o los servidores de mando y control (C2). Estas conexiones suelen utilizar métodos específicos de los protocolos de minería que los equipos de seguridad deben identificar.

El hardware afectado presenta señales físicas. Los sistemas se sobrecalientan y los ventiladores funcionan a máxima velocidad. Si el dispositivo usa batería, su autonomía se reduce considerablemente. En casos extremos, el sistema falla o se apaga por protección térmica.

El criptojacking a través del navegador tiene indicadores específicos. Incluso con pocas pestañas abiertas, los navegadores web consumen todos los recursos de la CPU. La pérdida de rendimiento continúa hasta que se cierran las pestañas afectadas.

Tipos de ataques de criptojacking

Aunque el criptojacking ha recibido mucha atención en los últimos años, no es un tipo de ataque uniforme. Utiliza distintos métodos para infiltrarse en los sistemas y minar criptomonedas. Estos ataques difieren en su forma de desplegarse, su persistencia y su nivel de impacto.

1. Criptojacking basado en el navegador

En el criptojacking basado en el navegador, el código de minería se ejecuta en navegadores web, posiblemente después de que piratas informáticos tomen el control de sitios web. Los mineros de JavaScript se inician automáticamente cuando los usuarios visitan sitios infectados y no descargan archivos en el sistema; por eso, el usuario no recibe ninguna alerta.

2. Criptojacking basado en archivos binarios

En los ataques basados en archivos binarios, los atacantes introducen ejecutables maliciosos en los sistemas objetivo. Estos mineros funcionan como procesos independientes, normalmente disfrazados de servicios legítimos del sistema. Persisten tras los reinicios y suelen ser más eficientes que los basados en el navegador porque acceden directamente al hardware.

3. Criptojacking en la cadena de suministro

La cadena de suministro se compromete mediante criptojacking cuando los atacantes secuestran canales legítimos de distribución de software para introducir malware de minería. El atacante añade código de minería a paquetes de software, actualizaciones o dependencias. Los componentes de minería se despliegan automáticamente con una firma digital cuando los usuarios instalan o actualizan el software afectado.

4. Criptojacking sin archivos

El criptojacking sin archivos ejecuta todo el proceso en la memoria del sistema en lugar de escribir en el disco. Estos ataques utilizan scripts de PowerShell u otras herramientas nativas de Windows para descargar y ejecutar código de minería. La ausencia de rastros en el disco dificulta la detección.

5. Criptojacking en infraestructura de nube

Estos ataques se dirigen a recursos y contenedores de nube mal configurados. En las instancias de nube, los atacantes despliegan mineros a través de interfaces de administración expuestas o de credenciales débiles. También pueden expandir rápidamente el ataque al aprovisionar recursos adicionales de nube con credenciales legítimas de cuentas comprometidas.

¿Cómo funcionan los ataques de criptojacking?

En el criptojacking, los atacantes siguen distintos pasos técnicos para desplegar código de minería y mantener su persistencia. Aunque cada técnica utiliza vectores de ataque y métodos de explotación diferentes, todas siguen un enfoque similar: evitar la detección y maximizar el rendimiento de la minería.

Técnicas de inyección basadas en el navegador

El primer paso del cryptojacking basado en navegadores es comprometer sitios web legítimos. En los ataques de rastreo de dominios, los atacantes insertan código JavaScript de minería en las páginas web mediante plugins vulnerables, sistemas de gestión de contenidos obsoletos o bibliotecas de terceros comprometidas. Cuando el código se ejecuta en el navegador de un visitante, se conecta a pools de minería mediante conexiones WebSocket y comienza a minar. Estos scripts suelen incorporar capas de limitación de recursos para pasar más desapercibidos y emplean la verificación de dominios para evitar la duplicación del código.

Ataques basados en archivos binarios

Los ataques basados en archivos binarios comienzan con el compromiso inicial del sistema mediante phishing, la explotación de vulnerabilidades o las descargas maliciosas. Depositan ejecutables de minería y archivos auxiliares en varias carpetas del sistema. Estos archivos contienen la configuración del pool de minería, direcciones de monederos y parámetros de uso de la CPU. La persistencia se consigue añadiendo claves de registro, programando tareas o instalando un servicio.

Métodos para comprometer la cadena de suministro

Este tipo de ataque se dirige a sistemas de compilación de software, servidores de actualizaciones o repositorios de paquetes. El atacante añade componentes de minería al código fuente o a los scripts de compilación. Los paquetes mantienen su función original, pero también ejecutan la minería en segundo plano. Los atacantes han utilizado en repetidas ocasiones certificados de firma de código obtenidos legítimamente de proveedores reconocidos para eludir la detección o los controles de seguridad. El código de minería se ejecuta después de la instalación normal.

Métodos de malware sin archivos

El cryptojacking sin archivos ejecuta el código de minería directamente en la memoria mediante herramientas del sistema como PowerShell o Windows Management Instrumentation (WMI). Estas intrusiones suelen producirse mediante scripts o macros maliciosos. Los scripts descargan configuraciones de minería cifradas por un servidor de comando y las descifran en la memoria. El ataque establece persistencia mediante suscripciones a eventos WMI o claves de ejecución del registro que vuelven a cargar el código de minería tras reiniciar el dispositivo.

Técnicas habituales para detectar el cryptojacking

Detectar ataques de cryptojacking exige supervisar diversos componentes del sistema y analizar distintos indicadores técnicos. Para identificar las actividades de minería en su infraestructura, las organizaciones necesitan un enfoque por capas.

1. Indicadores de rendimiento del sistema

El primer paso para investigar la presencia de cryptojacking es supervisar el uso de CPU y GPU. Las herramientas que supervisan la actividad del procesador suelen generar una alerta si detectan un uso elevado y sostenido fuera de lo habitual. Los sensores de temperatura revelan comportamientos térmicos anómalos. La supervisión de aplicaciones muestra cuáles consumen muchos recursos y se ejecutan desde ubicaciones inadecuadas.

2. Análisis del tráfico de red

El segundo método, la detección basada en la red, se centra en las comunicaciones con los grupos de minería. La inspección profunda de paquetes revela conexiones a dominios conocidos de grupos de minería y a direcciones IP extranjeras. Los patrones de datos constantes que coinciden con protocolos de minería indican actividad anómala. Este método también detecta conexiones cifradas mediante SSL/TLS a servicios de minería.

3. Métodos de análisis forense de memoria

Las herramientas de análisis de memoria capturan una instantánea para examinar el código y sus firmas. Detectan técnicas de inyección en procesos empleadas por los mineros. Los escáneres de memoria identifican direcciones de billeteras de criptomonedas y URL de grupos de minería en la memoria de los procesos. El análisis durante la ejecución descubre patrones de código que coinciden con algoritmos de minería conocidos.

4. Supervisión de la actividad de PowerShell

Supervisar PowerShell permite detectar la minería sin archivos. Las herramientas de seguridad registran y analizan los comandos ejecutados en PowerShell. El registro de bloques de scripts captura comandos y configuraciones de minería de criptomonedas. El registro de módulos documenta el uso de módulos de PowerShell para la minería. El registro de transcripciones recoge todos los detalles de las sesiones para su análisis forense.

5. Análisis del comportamiento del navegador

Las herramientas de supervisión del navegador detectan automáticamente si se utiliza JavaScript para minar criptomonedas. Los analizadores de extensiones identifican código de minería en las extensiones del navegador. La supervisión de páginas web detecta la ejecución de JavaScript para minar criptomonedas. Los analizadores de solicitudes de red identifican conexiones WebSocket a servicios de minería.

Prácticas recomendadas para protegerse del cryptojacking

Prevenir el cryptojacking requiere combinar controles de seguridad y procedimientos operativos. Estas prácticas crean capas de defensa que pueden impedir la intrusión inicial y los intentos de minería.

1. Configuración de seguridad del navegador

El primer paso es configurar el navegador para impedir que JavaScript ejecute determinadas funciones. Los equipos de seguridad utilizan extensiones de bloqueo de scripts que impiden la ejecución del código de minería activo. Las políticas de seguridad de contenido bloquean los dominios de minería. Las políticas del navegador pueden desactivar la ejecución de WebAssembly en contextos no confiables. Las actualizaciones periódicas del navegador corrigen vulnerabilidades que permiten inyectar código de minería.

2. Implementación de la supervisión de red

Para defender la red, las organizaciones deben implementar herramientas de supervisión en puntos clave de su infraestructura. Los sistemas de detección de intrusiones utilizan firmas para reconocer el tráfico de los grupos de minería. La segmentación de la red bloquea el malware de minería que intenta desplazarse lateralmente. El filtrado DNS impide las conexiones del sistema afectado a dominios identificados como grupos de minería. La supervisión del ancho de banda detecta patrones de tráfico inusuales procedentes de sistemas comprometidos.

3. Configuración de la protección de endpoints

Las herramientas de seguridad de endpoints protegen contra el malware de minería. Las listas de aplicaciones permitidas bloquean la ejecución de mineros no autorizados. Si se detecta un proceso de minería, se detiene o se bloquea para impedir que siga utilizando el sistema con fines maliciosos. Las alertas de uso de recursos identifican actividades sospechosas. La supervisión de la integridad de los archivos registra cambios no autorizados en el sistema. La protección de la memoria dificulta las técnicas de inyección de código que emplean los mineros.

4. Requisitos de concienciación sobre seguridad

Los programas de concienciación sobre seguridad deben enseñar a los usuarios a reconocer las amenazas de cryptojacking. La formación incluye cómo detectar comportamientos anómalos en el sistema y descargar y ejecutar software de internet de forma segura. Los procedimientos de notificación de incidentes facilitan una respuesta rápida ante posibles infecciones.

5. Estrategias de gestión de parches

La gestión de parches protege los sistemas frente a la explotación de vulnerabilidades conocidas. Los equipos de seguridad deben programar actualizaciones para todos los sistemas. La implementación automatizada de parches garantiza que las organizaciones reciban protección a tiempo. La gestión de la configuración permite identificar sistemas sin actualizar y supervisar el estado de los parches mediante análisis de vulnerabilidades en toda la infraestructura.

Conclusión

El cryptojacking es una amenaza para la ciberseguridad que sigue creciendo en complejidad y escala. Además de agotar los recursos informáticos, estos ataques causan pérdidas económicas considerables por el aumento de los costes operativos, los daños al hardware y las multas por posibles incumplimientos normativos. Detectar y detener a los mineros supone un desafío para las organizaciones, ya que emplean técnicas de evasión cada vez más sofisticadas.

Las empresas están preparadas para adaptar las soluciones a los costes de la detección y respuesta rápidas con su postura de seguridad en la nube, ofreciendo protección contra el criptojacking. Conocer estos vectores de ataque, las inyecciones basadas en navegadores, el malware sin archivos, etc., permite a la organización implementar las defensas adecuadas. Una estrategia de defensa sólida contra el criptojacking consistirá en la supervisión del sistema, el análisis de la red y la concienciación de los empleados.

Las empresas pueden ajustar las opciones de detección y respuesta rápidas a sus costes y a su postura de seguridad en la nube para protegerse del cryptojacking. Conocer los vectores de ataque, como las inyecciones en el navegador y el malware sin archivos, permite a las organizaciones implementar las defensas adecuadas. Una estrategia sólida contra el cryptojacking combina supervisión de sistemas, análisis de red y concienciación de los empleados.

"