El navegador Hola Browser, muy popular por incluir funciones de red privada virtual o VPN para saltarse bloqueos regionales, ha estado recientemente en el ojo del huracán. Un grupo de investigadores de ciberseguridad descubrió, a principios del mes pasado, que una versión específica de este programa para Windows ocultaba un software malicioso diseñado para generar criptomonedas utilizando la potencia de los ordenadores de los usuarios sin que estos se dieran cuenta.
El descubrimiento de la amenaza
La alarma saltó durante una auditoría rutinaria de seguridad para la certificación de la plataforma AppEsteem. Al revisar la versión del navegador, los analistas detectaron un archivo extraño llamado me.exe en la carpeta de instalación de la aplicación. Este elemento carecía de firma digital, no tenía fecha de creación y su código estaba fuertemente ocultado para evitar que lo detectaran los sistemas de análisis tradicionales.
Al no afectar a todos los usuarios por igual, las sospechas apuntaron rápidamente a un ataque a la cadena de suministro, algo que la propia compañía israelí propietaria de Hola Browser acabó confirmando. Alguien había logrado infiltrarse en el proceso de distribución para colar este programa dañino.
¿Por qué los piratas informáticos eligieron Monero?
El archivo malicioso descargaba un minero de Monero, una criptomoneda muy conocida en ciertos ámbitos por dos razones principales:
Privacidad extrema
A diferencia de Bitcoin, donde las transacciones son públicas, Monero oculta el emisor, el receptor y la cantidad enviada, lo que hace casi imposible seguir el rastro del dinero por parte de las autoridades de seguridad.
Minería con procesadores comunes
No requiere de componentes gráficos carísimos ni de equipos industriales. Se puede minar de forma eficiente usando el procesador normal de cualquier ordenador doméstico, lo que facilita que los atacantes aprovechen el hardware de miles de víctimas.
Así es como el virus tomaba el control del ordenador
El funcionamiento del malware estaba sumamente cuidado para pasar desapercibido. En primer lugar, se añadía de forma automática a la lista de exclusiones de Microsoft Defender para que el antivirus de Windows no lo analizara ni lo borrara.
Una vez asentado, creaba una copia persistente y registraba un servicio en el sistema que se iniciaba de manera automática con cada encendido del equipo. Para evitar que el usuario sospechara debido a la lentitud del sistema o al ruido de los ventiladores, el minero solo se ponía en marcha cuando el ordenador se quedaba inactivo, deteniendo su actividad en cuanto el usuario volvía a mover el ratón o a pulsar una tecla.
¿Cómo solucionar este problema y evitar riesgos?
Desde la empresa desarrolladora aseguran que el ataque solo afectó a un porcentaje mínimo de sus usuarios, estimado en un cero coma uno por ciento. No obstante, la recomendación inmediata para cualquier persona que utilice este navegador es actualizarlo de inmediato a la versión más reciente.
Para mantener los equipos a salvo de estas amenazas invisibles, conviene aplicar siempre unas pautas básicas de seguridad:
- Mantener todo el software y el sistema operativo al día con los últimos parches de seguridad.
- Utilizar una solución antivirus de confianza que analice el comportamiento en tiempo real de los programas instalados.
- Desconfiar de instaladores modificados o de procedencia dudosa, ya que los mineros de criptomonedas también suelen esconderse en versiones pirateadas de juegos y programas de pago.