Campaña de criptojacking afecta a más de 200.000 routers en Brasil

Los investigadores de seguridad han desenterrado una campaña masiva de criptojacking que apunta a los routers MikroTik y cambia su configuración para inyectar una copia del script de mineria de criptomonedas Coinhive en algunas partes del tráfico web de los usuarios.

La campaña parece haber despegado esta semana y, en sus primeras etapas, estuvo principalmente activa en Brasil, pero más tarde comenzó a apuntar a los routers MikroTik de todo el mundo.

Brasil ha sido golpeado por un elaborado ataque de minería de criptomonedas que infectó a cientos de miles de routers en todo el país.

El ataque, que aún sigue en curso, afecta específicamente a los routers MikroTik. En este caso, más de 200.000 máquinas se han visto afectadas, lo que ha creado una enorme red de bots de minería XMR (Monero) en todo Brasil.

Los perpetradores pudieron infectar los dispositivos con código malicioso, ejecutando CoinHive furtivamente en segundo plano. Para aquellos que no están familiarizados, CoinHive es un popular script de minería de Monero que se ha utilizado ampliamente para minar criptomonedas combinando el poder de procesamiento de la WWW (a menudo con fines benéficos), pero desafortunadamente esta vez no.

Este tipo de ataque se conoce como zero-day (día cero), explotando vulnerabilidades previamente desconocidas en el código. Este ataque de día cero permitió que CoinHive se ejecutara en cada una de las páginas visitadas por las máquinas expuestas – potencialmente millones de sitios web visitados cada día minando criptomonedas en secreto.

El ataque comenzó a principios de esta semana y se cree que está en sus primeras etapas. BleepingComputer informa de que se inició un segundo ataque, con lo que el número total de máquinas afectadas asciende a más de 200.000.

A pesar de que el fabricante emitió un parche para esta vulnerabilidad en abril, los routers a menudo no se actualizan. Esto significa que cualquier persona que tenga un router MikroTik debe aplicar de inmediato un parche al dispositivo.

Los analistas temen que se propague como una epidemia global. El investigador de SpiderLabs, Simon Kenin, quien desde entonces ha estado trabajando para alertar sobre ataque, se enteró debido al tráfico sospechosamente alto de CoinHive que sale de Brasil.

«Permítanme enfatizar cuán malo es este ataque», escribió en su análisis. «Hay cientos de miles de estos dispositivos en todo el mundo, en uso por los ISP y diferentes organizaciones y empresas, cada dispositivo sirve al menos a decenas, sino a cientos de usuarios diariamente».

Además, plantea que esto es realmente sintomático de una tendencia más amplia en Internet. Hace unos años, el mundo estaba al borde de una plaga de ransomware. La concientización ha aumentado tanto que los ingeniosos esquemas de chantaje son cada vez más difíciles de lograr.

Ahora, tal parece que el cripto-jacking con scripts como CoinHive son la nueva moda. Kenin destaca esta tendencia en su informe:

Los scripts mineros, por otro lado, pueden ser mucho más sigilosos, así que mientras que una sola computadora produciría más dinero del ransomware si el usuario termina pagando, un atacante preferiría ejecutar un minero sigiloso por un período de tiempo más largo. El plan es que en algún momento la explotación minera sea tan rentable como el pago único del ransomware, si no más.

Así que, vuelve a comprobar rápidamente que no tienes un router MicroTik. Si es así, dirígete directamente al sitio web del fabricante y obten una actualización oficial.