A través de las versiones piratas de Final Cut Pro, Adobe Photoshop, Logic Pro X y otras aplicaciones creativas a las que podemos acceder mediante Pirate Bay, se está propagando un nuevo malware de criptominería entre los usuarios que pone en jaque la seguridad de sus dispositivos. Según el equipo de investigación sobre ciberseguridad, Jamf Threat Labs, sería bautizado como XMRig.
XMRig se caracteriza por moverse muy rápido y sin dejar rastro. Sin oposición alguna se instala en los dispositivos Mac de los usuarios, los infecta y extrae criptomonedas de un modo rápido y efectivo. El aspecto más complejo de este malware es que es prácticamente indetectable, ya que aprovecha cuando el usuario no opera con su herramienta digital para infectarla y robar toda la información útil necesaria.
El informe ha permitido comprobar que el malware XMRig de criptominería se alojaba en una cuenta concreta de Pirate Bay, que distribuyó en todos sus archivos y aplicaciones pirateadas este elemento. Así pues, a diferencia del clásico adware (anuncios de spam) entre los sistemas macOs, ahora el cryptojacking se posiciona como la principal amenaza de malware para estos sistemas.
El productivo estudio formulado por Jamf Threat Labs logró rastrear hasta tres generaciones del malware XMRig, surgiendo la primera en agosto de 2019. Conforme iban apareciendo nuevas generaciones el malware se volvía más nocivo e indetectable, de tal modo que conseguía insertarlo en Pirate Bay en solo cuestión de 24 horas después de las actualizaciones de la aplicación macOS. De este modo, lograba camuflar los procesos maliciosos y rebautizarlos como procesos propios del sistema.
Sus elementos diferenciadores
Si por algo se caracteriza XMRig es por utilizar un protocolo de comunicaciones Invisible Internet Project (i2P) para comunicarse, descargar malware y enviar monedas a la wallet del atacante. Sus eficientes sistemas y estructuras desarrolladas permiten eludir cualquier tipo de detección por parte de VirusTotal, presentándose como una amenaza bien distinta a Tor.
El ataque por XMRig busca engañar a los usuarios que han descargado una aplicación infectada de malware para que deshabiliten toda la protección Gatekeeper que ofrece Apple, de tal modo que le estaremos dando consentimiento explícito para que la aplicación se ejecute y acometa su estrategia nociva.
Los investigadores de Jamf Threat Labs no descartan que XMRig pueda volverse más maligno debido al éxito de Apple en la creación de chips Apple Silicon, lo que convertiría a estos dispositivos en un blanco perfecto para los ciberdelincuentes. No obstante, todas las versiones conocidas hasta la fecha han sido bloqueadas y se ha informado a los administradores si su sistema de seguridad Mac, Gatekeeper, se encuentra desactivado.
La solución
Para que XMRig acceda a los dispositivos de una estructura empresarial deberá contar con el consentimiento explícito de sus empleados. No obstante, por vergüenza, esta acción es callada en infinidad de ocasiones, ya que son conscientes de que han actuado ilegalmente. A pesar de todo ello, hay que inculcar una cultura libre de culpas en materia de seguridad, ya que solo así el equipo de TI logrará detectar las vulnerabilidades y amenazas a tiempo.
El equipo de Apple estableció una serie de mejoras en maccOS Ventura recientemente para dificultar que XMRig pudiese distribuirse de forma sencilla. Sin duda, es una mejora con respecto a cómo solía actuar la protección Gatekeeper de Apple, que simplemente verificaba un archivo en el primer lanzamiento.
Esta nueva investigación ha detectado que el código de minería se ejecuta aunque la aplicación host original no lo haga, por lo que la única solución que se deriva de todo ello es evitar utilizar el software robado de Pirate Bay.
La única solución y la mejor defensa frente XMRig es inculcar la cultura de la seguridad y fomentar una formación de los usuarios en este sentido. Así pues, ZecOps llegó en 2022 para fortalecer la defensa de los dispositivos MAC. No obstante, mientras siga existiendo el error humano, lo ataques de malware (phishing, phreaking, piratería o honeypot) nunca cesarán. Una operación tan sencilla como instalar códigos de acceso complejos o no iniciar sesión de cuentas confidenciales a través de redes públicas de Wifi evitará la expansión de nuevas amenazas como XMRig.
