Malvertising: la infección silenciosa

Lleva esta entrada en "borrador" tanto tiempo que pensé que nunca llegaría a terminarla, pero en dos días he recibido el empujón que necesitaba; es más, han sido dos los empujones...

-Edito: han sido tres, y el tercero es el "morbo" que despierta el saber cuáles serán el último y el primer anuncio del año, con campanadas entre ambos...-

Se da con cierta frecuencia en las charlas un debate entre los asistentes cuando hablamos sobre los distintos modos que tienen los "malos" de infectarnos, e invariablemente terminan achacando la mayor parte del riesgo a los hábitos de navegación, más concretamente al hecho de visitar páginas de descargas "de todo gratis" o de pornografía. Pero cuando citas lo que aprendes escuchando a Josep Albors y cómo la trampa puede estar en una página legítima de excusadme decir qué productos, la cosa cambia.

¿Cómo es posible que la página web de X producto, afamado y de renombre, sea la causante de la infección? Y ¿cómo? si yo no he descargado nada.

Pues ahí está la trampa. Vamos por partes.

De entrada, antes de poder ver una página web en la pantalla de nuestro dispositivo se ha debido descargar todo el código que "pinta" la página para que la veamos en pantalla; o hablando en plata: ya has descargado "algo" aún cuando ni tan siquiera lo ves, ni lo sospechabas.

Y entre las distintas partes que tiene una página web (especialmente las que tienen un número elevado de visitas -que no es mi caso precisamente) hay un porcentaje del espacio de visualización dedicado a los anuncios (ads, por advertisement) que en lugar de estar gestionado por el propietario de la página podría serlo por una empresa mediadora que es la que se encarga "de todo" para que saquemos unos dinerillos que nunca vienen mal. ¡Ni los malos hacen ascos al dinero! Y es a través de esos anuncios gestionados por terceros, sobre los que no tenemos control, como nos meten el bicho en casa.

¡¿Cóóómo?!

Podría intentar explicarlo, pero la entrada se haría interminable, así que vamos a tirar de ayuda, en este caso de dos páginas web distintas pero con un objetivo podríamos decir que si no común, sí al menos paralelo: esta y esta otra.

La primera, la que ha precipitado todo, nos cuenta "...In this particular malvertising campaign, operators hide malicious code inside transparent PNG image's Alpha Channel, which defines the transparency of each pixel, by altering the transparency value of several pixels..." Vamos, que los malos incluyen código dañino "dentro" de una imagen que se muestra tan pronto se carga la página web. Este el el camino que sigue la infección.

En la segunda página, de las "abejitas alcarreñas", el gran Raúl Renales nos "destripa" paso a paso cómo se incluye el código en una imagen con el formato .svg (gráfico vectorial escalable) y lo que hace. Puedes hacer clic sin miedo -al menos a fecha hoy- en este enlace y ver lo que el navegador "te cuenta" de tí mismo...

Y la pregunta que te estás haciendo o deberías estar haciéndote: ¿y si en vez de pintarme un circulito de color rojo y relativamente grande me pintara un cuadradito de 1px blanco y en lugar de informarme de... haciera...? Y si esa imagen o ese pixel de 1x1 blanco me los colocan en un correo electrónico ¿sabrían si lo he recibido o si lo he abierto y cuándo?

Interesante cuestión... Tú ¿qué crees?