Hay una gran concienciación del cuidado que se debe tener con los correos electrónicos y los SMS que nos llegan. Pulsar en un enlace en el que no confiamos es algo realmente peligroso, pues se puede abrir la puerta para que roben nuestra información personal. Pero no tenemos la misma concienciación cuando conectamos un dispositivo USB a nuestros ordenadores o móviles.

A día de hoy el USB-C se ha convertido en el estándar europeo para poder cargar y conectar dispositivos. Todo por una cuestión medioambiental para que por ejemplo con un mismo cargador podamos recargar diferentes dispositivos. Pero estos USB-C son una gran herramienta para los ciberdelincuentes.

Precisamente en un USB se puede almacenar mucha información y darle instrucciones precisas para que actúe en cuanto se conecta a un tercer dispositivo. Esto hace que sea objeto de estudio por diferentes expertos. Uno de estos estudios se ha basado en usar rayos X para analizar los diferentes cables que se encuentran en el mercado.

Un ejemplo es el cable USB-C que vende Apple a 129 dólares que han querido comparar frente a un cable de Amazon Basics que ronda los 10 dólares. Aunque más allá de estos cables comerciales, hay otros que han sido modificados para poder transformarse en una "pesadilla de seguridad" al contar con hardware malicioso.

Este cable malicioso, llamada 0.MG, tiene una estética similar al resto de USB-C del mercado. Pero en el interior hay una gran diferencia: cuenta con un microprocesador, una antena y todo un circuito para ejecutar software malicioso.

Estos componentes que se ven al abrir el cable o al hacerles una radiografía tienen la capacidad de infectar cualquier dispositivo al que se conecte a través de scripts. Pero además, como se conecta a internet puede enviar toda la información a través de la red a los ciberdelincuentes.

Con este cable O.MG podemos ver lo fácil que puede llegar a ser infectar a un dispositivo particular o incluso de una gran empresa. Obviamente esto es algo que no es ni barato ni tampoco es fácil. Por ello, si no eres un gran objetivo que cuente en su dispositivo portátil información sensible, puedes estar tranquilo.

En Genbeta

Un pendrive cogiendo polvo es un USB desaprovechado: 10 ideas para sacarle el máximo partido en tu PC

Lo que tiene que servir esto es que ahora mismo debemos desconfiar prácticamente de todo lo que esté en contacto en el dispositivo donde tenemos datos personales. Enlaces, imágenes, archivos en PDF y ahora también se agrega a la lista los dispositivos que se conectan a través de un USB-C.

Vía | Lumafield

Imágenes | Marcus Urbenz

En Genbeta | Qué pasa cuando conectas una memoria USB al cargador del móvil. Lo hemos hecho para evitar que lo hagas tu

DuckDuckGo ha tomado medidas contra los scripts de seguimiento de terceros de Microsoft que metieron a este motor de búsqueda alternativo en problemas hace unos meses. Hay que recordar que en el mes de mayo, DuckDuckGo admitió que su navegador móvil, cuya gran fortaleza es su apuesta por a la privacidad, no bloqueaba ciertos rastreadores de Microsoft, confirmando los hallazgos del investigador de datos Zach Edwards.

Esta excepción especial para el gigante de Windows se debía a "compromisos contractuales con Microsoft", como dijo el director general de DuckDuckGo, Gabriel Weinberg, lo que fue causa de polémica. Finalmente, tras más de dos meses de este hallazgo, DuckDuckGo dijo que se añadirían los bloques completos para frenar el rastreo de la firma de Redmond.

Uso de Bing como fuente

"Anteriormente, estábamos limitados en la forma en que podíamos aplicar nuestra protección de carga de rastreadores de terceros en los scripts de rastreo de Microsoft debido a un requisito de política relacionado con nuestro uso de Bing como fuente para nuestros resultados de búsqueda privados", es lo que han explicado desde la empresa que dicen que esta excepción no la tenía ninguna otra empresa.

En Genbeta

DuckDuckGo ya es también un navegador de escritorio: la versión para Mac ya está disponible, y la de Windows está al caer

Ahora, las secuencias de comandos de Microsoft de bat.bing.com, utilizadas para medir la eficacia de los anuncios web, no serán bloqueadas por el navegador móvil de DuckDuckGo si son obtenidas por el sitio web de un anunciante tras un clic en un anuncio de DuckDuckGo. Es decir, si se pulsa sobre un anuncio en una página de resultados de búsqueda, se accede al sitio web del anunciante y éste extrae un script de bat.bing.com para detectar y registrar si lo que se ha pedido posteriormente es resultado de ese anuncio, el navegador no bloqueará ese script.

Es decir, DuckDuckGo y Microsoft son socios en materia de publicidad. Por esto, si accedes a un anuncio proporcionado por Microsoft en DuckDuckGo se revelará tu dirección IP al servicio de Microsoft. Pero esto puede evitarse ahora.

"Para cualquiera que quiera evitar esto, es posible desactivar los anuncios en la configuración de búsqueda de DuckDuckGo", dijo la empresa, añadiendo que está trabajando en la eliminación de la compatibilidad con bat.bing.com con un seguimiento alternativo de la conversión de anuncios que no sea de perfil.

A lo largo de esta semana, la empresa amplía "las secuencias de comandos de seguimiento de terceros que bloqueamos para que no se carguen en los sitios web para incluir secuencias de comandos de Microsoft en nuestras aplicaciones de navegación (iOS y Android) y nuestras extensiones de navegador (Chrome, Firefox, Safari, Edge y Opera)". Las aplicaciones beta seguirán en el próximo mes. Esto amplía nuestra protección de carga de rastreadores de terceros, que bloquea la carga de scripts de rastreo identificados de Facebook, Google y otras empresas en sitios web de terceros, para incluir ahora los scripts de rastreo de Microsoft de terceros.

Actualmente, las herramientas de bloqueo de contenidos online tienen que contemplar miles de excepciones en sus filtros para evitar bloquear scripts necesarios para el funcionamiento de los sitios web… pero muchas veces eso significa dejar la puerta abierta a miles de scripts que vulneran nuestra privacidad.

Un equipo de desarrolladores formado conjuntamente por investigadores de la Universidad de San Diego y del navegador Brave han desarrollado una herramienta denominada SugarCoat, con la que pretenden "aumentar la protección de los datos privados de los usuarios mientras navegan".

SugarCoat apuesta por la estrategia del cambiazo

¿Cómo? Reescribiendo sobre la marcha los scripts que contienen las páginas webs que visitan, si se detecta que éstos vulneran su privacidad. No optar por el bloqueo absoluto, ni por la puerta abierta, sino por el 'cambiazo'.

Por ejemplo, en el caso de aquellos scripts dedicados a rastrear el historial de navegación, SugarCoat reemplazará fragmentos de su código para que puedan seguir ejecutándose… sin acceder en realidad a los datos privados que buscan sus creadores.

En Genbeta

Este test online te permite evaluar la efectividad de tu bloqueador de anuncios

Según explican los investigadores de la Universidad de San Diego, el objetivo de SugarCoat es superar el dilema entre "preservar la privacidad, pero 'romper' los sitios webs" (al bloquear los scripts intrusivos) o "lograr que funcionen los sitios web, pero renunciar la privacidad".

SugarCoat es de código abierto y actualmente está siendo integrado en el navegador Brave, si bien está diseñado con vistas a integrarse igualmente en otros navegadores "centrados en la privacidad" como Firefox y Tor Browser, así como en extensiones de navegador "como uBlock Origin".

De hecho, uBlock Origin es una de las pocas herramientas que podía presumir de apostar ya por este enfoque de reemplazo de código, si bien sólo tenía reemplazos para 27 scripts… frente a las más de 6.000 excepciones ya mencionadas antes. ¿Por qué tal desequilibrio?

Pues porque la elaboración de tales reemplazos representaba una tarea lenta y compleja incluso para los expertos en ingeniería de la privacidad. Sin embargo, ahora SugarCoat permite la generación automática de reemplazos, ahora más sencilla gracias a que intercepta las comunicaciones entre scripts y APIs web, y a que es capaz de suplantar a estas últimas.

El funcionamiento interno de SugarCoat se explica en un paper académico recientemente publicado por su equipo de desarrolladores, titulado 'SugarCoat: Programmatically Generating Privacy-Preserving, Web-Compatible Resource Replacements for Content Blocking' (aquí el PDF).

Vía | UC San Diego

Entre los comandos básicos de todos los sistemas Unix podemos encontrar un puñado de ellos destinados a trabajar con flujos de texto (procesándolo, seleccionándolo, editándolo, etc).

Gracias al hecho de poder encontrarlos en todos los Linux, BSD (y con ello, macOS) y Windows 10-11 (gracias a WSL) del planeta, tener una noción básica sobre la labor que realizar puede resultar muy útil si en algún momento necesitamos recurrir a ellos; por ejemplo, para crear shell scripts.

A continuación, te presentamos un somero resumen de cuatro de estos comandos, sin ánimo de exhaustividad a la hora de examinar sus diferentes opciones.

Grep: el buscador

El nombre del comando deriva de 'Global search' + 'Regular Expresion' + 'Print', lo cual ya da pistas sobre su comportamiento.

La labor del comando 'Grep' es la de filtrar los contenidos de un determinado fichero, buscando para ello la cadena de caracteres y/o la expresión regular que le indiquemos (lo que denominamos 'patrón'). Una vez encontrada, visualizará en pantalla la línea completa de cada resultado, aunque los modificadores pueden cambiar eso.

En Xataka

Viviendo la vida (casi) sin interfaz gráfica: así trabajan los linuxeros que ven todo dentro de una consola en modo texto

Grep viene a ser, de algún modo, el equivalente del típico 'Ctrl + F' de las herramientas gráficas, si bien su uso en terminal le dota de mayor versatilidad, dándonos la oportunidad —por ejemplo— de redirigir la salida del comando a un nuevo archivo de texto que muestre únicamente ciertas líneas del archivo original.

• Sintaxis:

$grep [-modificadores] [patrón] [archivo/s]

En el ejemplo "grep -n usuario *.log" le estamos indicando a Grep que muestre en pantalla todas las líneas (indicando su número) que contengan el término 'usuario'… y que realice esta operación con todos los archivos .log del directorio.

Sed: el reemplazador

'Sed' es la abreviatura de 'Stream Editor', y se trata de un procesador de texto en el sentido más tradicional del término: pues con base en las indicaciones que le demos transformará el contenido de uno o varios archivos, permitiéndonos —por ejemplo— cortar texto o reemplazarlo.

Ojo, porque modificar "el contenido de un archivo" no significa necesariamente que modifique el archivo en sí: el texto procesado se mostrará únicamente en la salida estándar (la pantalla) a no ser que le especifiquemos otro comportamiento al programa.

• Sintaxis:

$sed [línea de inicio [, línea de fin]] función [argumentos]

Así, por ejemplo, la instrucción "$sed 's/Ilíada/Odisea/g' fichero.txt" no incluye línea de inicio ni fin, pero el modificador '/g' indica a sed que debe sustituir en todo el contenido del fichero.txt la palabra 'Ilíada' por 'Odisea'.

En Xataka

Así es usar la consola Bash de Ubuntu en Windows 10

Cat: el visualizador (y aglutinador)

'Cat' no es ninguna referencia gatuna —que sepamos— sino una abreviatura de 'concatenar', pues es el comando responsable de concatenar y visualizar textos.

Así, no sólo permite mostrar todo el contenido de uno o varios archivos en pantalla, sino redireccionar esa salida estándar a un nuevo archivo que los aglutine. Recurriendo a los modificadores, podremos realizar otras tareas como la supresión de líneas vacías.

• Sintaxis:

$cat [modificador] [archivo/s]

Así, el comando "cat capitulo*.txt" mostraría en pantalla, de forma consecutiva, el contenido de todos los archivos de texto cuyo nombre comience por 'capitulo'. Se recomienda utilizar esta clase de órdenes conjuntamente con el comando 'more', para darnos la opción de ir pasando 'página' (o, más bien, buffer) al leer.

¿Dudabais que la editorial O'Reilly tuviera un libro al respecto, acaso? (PD: Tiene más).

Awk: el lenguaje Todo-en-Uno

Awk puede hacer prácticamente todo lo que hacen los anteriores, y varias cosas más. De hecho, más que un simple comando de procesamiento de patrones, se trata de un potente lenguaje de scripting para el análisis semántico, que contempla el uso de variables o de condicionales 'if', por ejemplo.

• Sintaxis:

$awk [modificadores] instrucciones [fichero]

Así, por ejemplo, en "awk '{if ($1 > 10) print $1}' fichero.txt", le estamos diciendo a Awk que muestre en pantalla el primer elemento de cada línea del fichero en cuestión, siempre y cuando se trate de un número mayor que 10.

AutoHotkey es una herramienta poco conocida por el usuario medio, lo cual resulta sorprendente teniendo en cuenta lo útil que puede llegar a resultar en nuestro uso diario PC. Hace cuatro años ya publicamos en Genbeta una breve introducción a la misma...

...pero hoy vamos a repasar algunos usos concretos que podemos darle para hacernos a la idea del potencial de esta herramienta.

Antes de eso, vamos a realizar un breve repaso a lo que nos ofrece. AutoHotkey es una herramienta de creación y ejecución de scripts, que vendrían a ser archivos de texto con extensión .htk.

Es ese sentido, no son muy distintos de los archivos .bat, que aún hoy se usan para ejecutar secuencias de comandos de consola. Sin embargo, los scripts de AutoHotkey son bastante más versátiles que aquellos.

Fundamentalmente, cada script .ahk nos permite crear un número indeterminado de 'hotkeys' (atajos de teclado) y de 'hotstrings' (cadenas de texto que se convierten en otras).

Podemos crear múltiples scripts para tareas concretas, o agruparlos en un único archivo 'AutoHotkey.ahk' que, si lo situamos en la carpeta 'Documentos', se iniciará automáticamente cada vez que iniciemos el programa en sí (en mi caso, lo he configurado para que el programa se inicie junto al propio Windows).

En Genbeta

Las mejores herramientas para consultar los atajos de teclado de tu sistema operativo y de tus programas favoritos

Explicado eso, veamos qué podemos hacer con él:

Abrir páginas web

Imagina que quieres poder abrir rápidamente una web con tu navegador por defecto, como Genbeta (¿cuál si no?). Pues tres líneas de script nos ayudarán a hacer eso usando la combinación de teclas Ctrl+Mayúsc+'G':

^+g::Run "https://www.genbeta.com"

return

Si prefirieras usar una de las teclas de función (como F2) para dicha tarea, sólo tendrías que cambiar '^+g' por '$F2".

Recuerda que (^) equivale a 'Control' y (+) a 'Mayúsculas'. También podrías usar, por ejemplo, (!), que sería 'Alt', y (#), que sería la tecla de Windows.

Buscar en Google un texto del portapapeles

Si lo que quieres no es tanto abrir una URL concreta como buscar en Google un texto determinado, con el siguiente script sólo tendrías que copiarlo y, sin tener que abrir la ventana del navegador o una nueva pestaña, pulsar Ctrl+Mayúsculas+C:

^+c::

}

Ejecutar cualquier aplicación

Si quieres tener a mano la ejecución de alguna aplicación, el mejor modo puede ser configurar un atajo de teclado específico para ella. Pongamos, por ejemplo, que queremos abrir el Bloc de notas pulsando Windows+N; pues sería así:

#n::Run notepad

Dependiendo del programa a abrir, podría ser necesario teclear la ruta completa del archivo .exe.

Atajos de teclado para subir y bajar volumen

Si no cuentas con un teclado multimedia con teclas específicas para el volumen, te gustará saber que el siguiente script vincula las subidas y bajadas de volumen a las teclas '+' y '−' del teclado numérico, y permite silenciarlo por completo pulsando la infrautilizada tecla 'Pausa':

+NumpadAdd:: Send {Volume_Up}

return

Borrar la Papelera de reciclaje

¿Te gustaría borrar la Papelera de reciclaje con sólo un atajo de teclado (pongamos que Windows+Supr), y ahorrarte además que el sistema te pida confirmación? Tan simple como

#Del::FileRecycleEmpty

return

Mantener una ventana siempre visible

Utilizando el siguiente script, sólo tendrás que pulsar Ctrl+Espacio cuando esté activa la ventana que nos interese y ya no dejará de estar en primer plano aunque hagamos clic en la ventana de otro programa:

^SPACE:: Winset, Alwaysontop, , A

return

Autocorrección y extensión de textos

No todos los scripts de AutoHotkey se basan en ejecutar programas o recurrir a la API de Windows. Algunas se 'limitan' a transformar el texto según lo vamos escribiendo.

Puede ser con fines de autocorrección, si son palabras en las que nos suele bailar una tecla cuando las escribimos rápido:

:*?:salido::saludo

:*?:Genebta::Genbeta

En Genbeta

Cómo obtener sugerencias y autocorrección de texto en Windows 10 incluso si no usas un teclado táctil

O puede ser con el objetivo de insertar rápidamente un texto muy largo que acostumbramos a escribir siempre igual usando para ello una palabra clave, como 'mimensaje1':

:*?:mimensaje1::Estimado cliente, mi nombre es Tipo de Incógnito, de la Consultora SuperExperting, y le escribo personalmente con el objetivo de soltarle una parrafada sobre el aprovechamiento de sinergias innovadoras que

O quizá lo que quieres sea insertar rápidamente algún carácter que no tenemos a mano en el teclado (nota: las líneas precedidas de punto y coma son comentarios, no instrucciones):

;Inserta el símbolo de 'más/menos' pulsando '++--'.

:*?:++--::±

En realidad, también podemos recurrir a los atajos de teclado para insertar fácilmente dichos caracteres. Por ejemplo, usando Alt + '-' para insertar un guión largo (que no es el mismo símbolo que el guión):

!-::Send —

De igual modo que los desarrolladores de proyectos Node.js cuentan con un repositorio de paquetes con fragmentos de código como NPM, y que los de .NET cuentan con NuGet, los desarrolladores de scripts y módulos PowerShell cuentan con la PowerShell Gallery, un servicio gestionado por Microsoft en el cual, según reza su web,

"Encontrará módulos útiles que contienen comandos de PowerShell y los recursos de configuración de estado deseado (DSC). También encontrará scripts (algunos de los cuales pueden contener flujos de trabajo de PowerShell), que describen un conjunto de tareas y proporcionan la secuenciación de dichas tareas".

La PowerShell Gallery cuenta actualmente con 66.367 paquetes, de los que se han realizado ya casi 3.200 millones de descargas. Algunos de los paquetes han sido desarrollados por la propia Microsoft, pero otros muchos son creación de la misma comunidad de PowerShell.

Para hacernos una idea del tipo de utilidades que ofrece, entre los paquetes más populares del repositorio destacan los siguientes:

• NetworkingDsc: Recursos DSC para configurar aspectos relacionados con las redes.

• PSWindowsUpdate: Este módulo contiene 'cmdlets' para gestionar el cliente de Windows Update.

En Xataka

Windows Terminal es la nueva consola de Microsoft que unifica PowerShell, Cmd y Windows Subsystem for Linux (WSL)

• Az.Accounts: Módulo con 'cmdlets' para gestionar cuentas de usuario en Azure Resource Manager.

• PackageManagement: Un gestor de paquetes para acceder a software por Internet.

• Gestión De ComputadorasDsc: Recursos DSC relacionados con aspectos de la administración del equipo como la programación de tareas, la gestión de la memoria virtual o de las configuraciones energéticas, etc.

Un vistazo básico al modo de uso

Gracias al módulo PowerShellGet, cualquier usuario de PowerShell puede usar la galería para cargar, detectar y descargar todo tipo de paquetes. Antes de actualizarlo, deberemos instalar la versión más reciente del ya mencionado NuGet, haciendo uso del siguiente comando:

Install-PackageProvider -Name NuGet -Force

En caso contrario, cuando intentemos hacer uso del mismo, PowerShell nos ofrecerá instalarlo. Esto es lo que pasa si intentamos realizar una búsqueda de módulos relacionados con Active Directory en la galería (usando el comando 'Find-Module *activedirectory*') sin haberlo instalado previamente:

Una vez instalado, ya podremos realizar la correspondiente búsqueda:

Y cuando sepamos qué módulo queremos instalar en nuestro equipo, bastará con ejecutar Install-Module. Ejemplo:

Install-Module -Name PowerShellGet

Si, por el contrario, deseamos instalar un script, deberemos hacer uso del comando 'Install-Script', igualmente seguido del nombre del mismo en la PowerShell Gallery.

Por supuesto, como ocurre con otros gestores de paquetes similares, módulos y scripts pueden ser actualizados por versiones más modernas. Para ello contaremos con los comandos 'Update-Module' o 'Update-Script'.

Y, por último, podemos realizar una comprobación de qué hemos instalado en el pasado desde la PowerShell Gallery, con los comandos 'Get-InstalledModule' y 'Get-InstalledScript'.

Open and Shut es una de esas utilidades que existen porque pueden existir, y por lo sorprendente de su enfoque, merece la pena contar qué es. Actualmente, cada ordenador portátil cuenta con un teclado en el que podemos escribir rápidamente. Pero, además de algo ruidoso, ¿cómo sería escribir en morse directamente en nuestro ordenador dando golpes con la tapa del portátil?

Jesse Li, un desarrollador, ha pensado que escribir cien palabras por hora en vez de cien por minuto puede ser una gran experiencia de introducción de texto en Linux, y ha compartido su script Open and shut en GitHub para que cualquiera pueda jugar con ello. Para hacerlo, tendrás que tener una máquina con ese sistema operativo, y conocer el código morse.

Dependiendo de la duración de los golpes que demos con la tapa de nuestro portátil, abriéndola y cerrándola, escribiremos lo que pretendemos o simplemente cosas aleatorias, pero puede valer la pena intentarlo, por la ciencia.

Cómo utilizar Open and Shut

Las instrucciones que Li ha dado para por utilizar Open and Shut en nuestra máquina:

• Se utilizan las dependencias acpid (para detectar cambios entre la tapa abierta y cerrada) y xdotool. En primer lugar, hay que clonar su repositorio y copiar los archivos en "/etc/acpi".

git clone git@github.com:veggiedefender/open-and-shut.git sudo cp morse_code_close.sh morse_code_open.sh morse_code_acpi.sh /etc/acpi/

• Para que acpid sepa cuándo y como ejecutar los scripts, hay que crear el archivo /etc/acpi/events/lm_lid con este contenido:

event=button/lid.* action=/etc/acpi/morse_code_acpi.sh

Esto hará que el sistema sepa que al cerrarse la tapa, debe traducirse el código morse a las letras del alfabeto, para que se escriban en una aplicación de texto.

En Genbeta

He intentado usar Linux como mi sistema principal y elementary OS Hera es lo más cerca que he estado de lograrlo

Como Open and Shut puede ser problemático y causar conflicto con el bloqueo de pantalla y el reposo de los portátiles, Li ofrece una forma temporal y otra permanente de deshabilitarlo. Dependiendo de lo que queramos, deberemos hace lo siguiente:

• Temporal: Ejecutar systemd-inhibit --what=handle-lid-switch cat y presionar Ctrl+C cuando hayamos acabado.

• Permanente: Añadir la línea "HandleLidSwitch=ignore" a /etc/systemd/logind.conf y ejecutar sudo systemctl restart systemd-logind.service o reiniciar manualmente el equipo.

Existen muchas creaciones de este tipo, escritas solamente porque sí, como la del desarrollador que hizo funcionar Spotify en una Atari de hace 37 años, algo tan maravilloso visualmente como inútil para los usos de hoy en día, pero que sorprendía por cómo era compatible incluso con Spotify Connect.

El secuestro del CPU de los internautas para minar criptomonedas se ha vuelto una verdadera epidemia. En los últimos meses desde la fiebre de bitcoin, ethererum y demás criptodivisas que han aumentado enormenente de valor, también han aumentado las artimañas para intentar minar o robar el dinero digial.

El investigador de seguridad Troy Mursch ha publicado un informe en el que explica cómo ha identificado hasta ahora casi 50.000 sitios web que usan WordPress y que han sido infectados con scripts para minar criptomonedas, principalmente Monero.

Así como algunas webs inyectan estos scripts en su código de forma premeditada, existe otra cara de la moneda y son esos sitios infectados con scripts de terceros que buscan aprovechar a quienes visitan las páginas.

Mursch utilizó el motor de búsqueda de PublicWWW, una herramienta que indexa el código fuente completo de los sitios web, para identificar páginas que tuviesen mineros como Coinhive, Crypto-Loot, CoinImp y deepMiner, todos usados para minar Monero usando el CPU de los usuarios que visitan los sitios.

Coinhive en todos lados

Sitios web que usan Coinhive para minar criptomonedas en azul, el resto de scripts, en rojo

El investigador logró identificar un total de 48.953 sitios web afectados y de estos, unos 41.000 estaban usando Coinhive, en más del 80% de los casos en los que una de estas webs mina criptomonedas, lo hace usando el famoso script. Ya para noviembre de 2017 había contado 30.000 sitios usando Coinhive.

The #cryptojacking campaign targeting #WordPress websites has now affected at least 7,368 sites.

The @publicww query used to find sites with the obfuscated #Coinhive code is discussed here:https://t.co/UnOe14kHKN

List of sites found since January 20:https://t.co/JFCgMiKouH

— Bad Packets Report (@bad_packets) 6 de marzo de 2018

Además ha publicado una lista en pastebin con los más de 7000 sitios que ha indentificado desde el 20 de enero de 2018 informando que aunque algunos ya han retirado los scripts de minado, otros siguen comprometidos.

Esto que sirva de recordatorio sobre las precauciones que debemos tomar ahora al navegar para evitar abusen de nosotros sin nuestro permiso. Si quieres aprender sobre esto puedes leer nuestra guía para saber si te están usando para minar criptomonedas en Internet.

Vía | The Next Web
En Genbeta | Ni hackers ni brechas, la nueva tendencia es robar bitcoins a mano armada

Mientras las criptomonedas suben, bajan y vuelven a subir, están en boca de todos. Su popularidad no para de aumentar, cada vez con mayor frecuencia se habla de ellas en los medios de comunicación tradicionales y día tras día más gente quiere subirse al provechoso y floreciente criptocarro. Es lo que hay.

Por eso, y por el lucrativo negocio que suponen, no han parado de surgir iniciativas malintencionadas que pretenden aprovecharse del común de los usuarios para enriquecerse con divisas como Bitcoin, Ethereum, Ripple y fundamentalmente Monero. Hablamos de los scripts de minado y de lo que hacen: secuestrar parte de los recursos de tu CPU para generar criptomonedas.

¿Hay solución? Sí, la hay, y aquí vamos a hablarte de una de ellas: minerBlock, una extensión disponible para los navegadores Chrome y Opera, que también puede usarse en Vivaldi.

Mantén lejos a los mineros deseosos de tu equipo con MinerBlock

MinerBlock en acción con la web de Movistar España en el incidente de hace unas semanas.

Los códigos de minado han aparecido, por deseo o no de los administradores, en webs como The Pirate Bay, Movistar España o Semana. Cada vez que visitas una web con uno de estos scripts podrás notar cómo aumenta la actividad de tu equipo. ¿La razón? Están usando la potencia de tu máquina para minar criptomonedas en su propio beneficio. Estos es lo que evita esta extensión.

Lo hace de dos maneras distintas, para asegurarse combatir mejor estas prácticas malintencionadas en la mayoría de los casos.

Por un lado, bloquea peticiones o scripts cargados comparando las llamadas que se hacen en el código con una lista negra; el mismo enfoque que tienen la mayoría de bloqueadores de publicidad y otros bloqueadores de mineros. Y por otro, detecta de forma autónoma, sin necesidad de listas, comportamientos potencialmente identificables con los de un código de minado. Cuando los descubre, acaba inmediatamente con el script que lo contiene asegurando que nadie se aprovecha de nuestra máquina.

Este doble ataque, según su desarrollador, hace que la extensión "sea capaz de bloquear tanto scripts en línea como mineros ejecutándose a través de proxies".

Emplear tanto esta extensión como NoCoin, también recomendable, te asegurará con bastante seguridad estar a salvo de minados indeseados. Aunque si sospechas que se están aprovechando de tus recursos y estas extensiones no detectan nada, puedes seguir estas recomendaciones para saber qué sucede.

En Xataka | Hemos calculado la rentabilidad de minar bitcoins y ethereums en 2017 para romper tus sueños de hacerte rico

El usuario medio de internet es consciente de lo que implica acceder a casi cualquier página web: un seguimiento. Nuestras visitas son registradas, se nos ubica sobre un mapa, se anota qué navegador hemos utilizado e incluso se identifica el dispositivo empleado. Se trata de datos estadísticos que, a priori, pueden ayudar a los administradores de un portal a conocer mejor a sus usuarios.

Sin embargo, las suspicacias aparecen y por eso los usuarios avanzados que más valoran su privacidad emplean herramientas para no ser vistos en la red. Para mantenerse a salvo de seguimientos, rastreadores y herramientas de grabación de sesiones como las que han detectado investigadores de la Universidad de Princeton en 482 de los 50.000 sitios más importantes del mundo según Alexa.

Rastreos más invasivos de lo que cree el usuario medio

"Es posible que sepas que la mayoría de los sitios web tienen scripts de análisis de terceros que registran qué páginas visitas y las búsquedas que realizas", afirman los responsables de la investigación. "Pero últimamente, cada vez más sitios usan scripts de 'repetición de sesión'. Estos scripts registran tus pulsaciones de teclas, movimientos del ratón y comportamiento de desplazamiento, junto con todo el contenido de las páginas que visitas, y los envían a servidores de terceros".

En resumidas cuentas, estos archivos graban prácticamente todo aquello que un usuario hace en una web. Desde desplazarse buscando determinada sección hasta registrar lo que pueda escribir en una caja de texto. Aunque no es ninguna noticia, muchos usuarios son ajenos a estas prácticas y a su dimensión.

Sirva como ejemplo ilustrativo este vídeo, donde se observa cómo la actividad de un usuario puede quedar registrada incluso en tiempo real. Aunque datos como los del número de la tarjeta de crédito se anonimizan.

Como dicen los investigadores del Princeton’s Center for Information Technology Policy, que han publicado este hallazgo como la primera parte de una serie sobre extracciones de información personal cada vez más intrusivas, es "como si alguien estuviera mirando por encima de tu hombro".

La finalidad declarada de este registro de datos incluye la recopilación de ideas sobre cómo interactúan los usuarios con los sitios web y la detección de páginas rotas o confusas.

Sin embargo, el alcance de los datos recopilados por estos servicios excede con mucho las expectativas del usuario; el texto escrito en los formularios se recoge antes de que el usuario envíe el formulario, y se guardan movimientos precisos del ratón, todo ello sin ninguna indicación visual para el usuario. No es razonable esperar que estos datos se mantengan anónimos. De hecho, algunas empresas permiten a los editores vincular explícitamente las grabaciones con la identidad real del usuario.

Steve Englehardt, Gunes Acar y Arvind Narayanan, los tres responsables del estudio, analizaron siete compañías de las más populares dedicadas a esta clase de analíticas, incluyendo FullStory, SessionCam, Clicktale, Smartlook, UserReplay, Hotjar y Yandex, el que es el buscador más popular de Rusia.

Sus averiguaciones constataron que 482 de los 50.000 sitios más importantes del top de Alexa emplean alguno de estos scripts. Aunque podrían ser más, ya que no suelen utilizarse en todas las páginas de un portal.

La lista con los sitios detectados del top 10.000 de Alexa es pública. Destacan entre todos ellos webs mundialmente conocidas como las de microsoft.com, rt.com, wordpress.com, adobe.com, godaddy.com, spotify.com, reuters.com, avg.com, o ryanair.com, entre otras.

¿Son grabaciones inofensivas?

Estas prácticas no son ninguna novedad y, en principio, deberían ser inofensivas. Únicamente tendrían que servir para mostrar cómo los usuarios se comportan en una web, revelando patrones, errores en el diseño del portal y un sinfín de pormenores adicionales.

No obstante, los investigadores se preguntan qué puede ir mal y contestan: "En resumen, mucho". No demuestran demasiada confianza.

La recopilación de contenido de la página por parte de scripts de reproducción de terceros puede hacer que la información sensible, como las condiciones médicas, los detalles de la tarjeta de crédito y otra información personal que se muestra en una página se filtre a terceros como parte de la grabación. Esto puede exponer a los usuarios al robo de identidad, estafas en línea y otros comportamientos no deseados. Lo mismo ocurre con la recopilación de datos de entrada de los usuarios durante los procesos de pago y registro.

Muchos de estos servicios ofrecen la posibilidad de excluir la recopilación de determinados datos, algunos de ellos incluso lo exigen a la hora de emplearlos, pero pueden surgir problemas quedando registrados y puede que expuestos ciertas informaciones sensibles.

Desde la publicación de estas conclusiones la semana pasada, según Motherboard, dos grandes sitios webs han anunciado que dejarán de usar los scripts de repetición de sesión. Han sido la parafarmacia walgreens.com y la tienda de moda bonobos.com, ambas compañías situadas en Estados Unidos.

En Genbeta | Siete webs y extensiones para proteger tu privacidad y tu seguridad online