El camaleón, el PGSharp y la clave del wifi

Hay una frase que en mi casa funciona como una cuenta atrás:

—Aita… ¿nos lo instalas? Es que lo juega todo el mundo.

Y ahí estaba yo, hace unas semanas, comprando tres copias del juego viral del momento. Una para cada uno. Tres ordenadores, tres cuentas, una tarde entera de "espera que actualiza".

Yo no soy de estas cosas, que quede claro. Mi instinto ante un fenómeno viral es el mismo que ante un correo de «su paquete está retenido en aduanas»: primero desconfiar, luego ya veremos.

Pero eran mis hijos. Y era jugar los tres juntos. Y hay batallas que un padre elige no librar.

Esta mañana he abierto el móvil y me he encontrado la noticia: unos mods del juego llevaban malware dentro, y a los afectados les recomiendan formatear el ordenador.

Formatear. El ordenador. De mis hijos. Que instalé yo.

Bien.

Un camaleón. Foto: Mkrc85, CC BY-SA 4.0; imagen recortada y disponible bajo la misma licencia.

Qué ha pasado, en cristiano

El juego es Meccha Chameleon, el pelotazo del mes en Steam, y como casi todo éxito en Steam tiene Workshop: un sitio donde cualquiera sube mapas y cualquiera se los descarga con un clic.

Un investigador conocido como Feint se puso a mirar un par de ellos con cariño y encontró la sorpresa: Laser Tag Neon y Chroma Grid Arena no eran mapas, eran un dropper, un envoltorio bonito con un instalador de malware dentro.

El truco, sin florituras: el mapa llevaba lógica del propio motor del juego que se ejecutaba al cargarlo, dejaba un fichero en la carpeta de Documentos, lanzaba PowerShell saltándose la política de ejecución y descargaba desde un servidor externo la carga útil, un troyano de acceso remoto.

Y ahí está lo que da miedo: no hacía falta hacer nada raro. Solo jugar. Ni descargar un crack, ni abrir un adjunto, ni pinchar el enlace de un SMS de Correos. Darle a «Jugar».

Y la parte que a mí me parece más instructiva: se infectó gente del propio equipo mientras investigaba el bicho. Fue un equipo auxiliar de pruebas, y desde ahí el atacante llegó al Discord oficial —más de cien mil personas—, comprometió el segundo factor de la cuenta que lo administraba y baneó al resto del personal. El servidor estuvo secuestrado un rato largo.

Que un profesional se infecte investigando malware no es una anécdota graciosa: es el recordatorio de que esto no va de «listos» y «tontos». El malware no se salta a los que saben, solo tarda un poco más.

Los mapas ya están fuera y a quien cargara cualquiera de los dos se le recomienda formatear. El juego base está limpio —los desarrolladores confirman que el código fuente no estuvo comprometido—, pero conviene no quedarse con la versión cómoda de la historia: sí había un fallo en el juego. El mecanismo de extensiones permitía que un mapa de la comunidad ejecutara código arbitrario, y por eso hubo que corregirlo en la versión 3.1.0. Que estuviera limpio y que fuera vulnerable son dos cosas distintas y las dos son ciertas.

Mi mañana, minuto a minuto

Minuto 1. Leo el titular y se me pone esa cara de «a ver, tranquilo» que en realidad significa «nada tranquilo».

Minuto 2. Miro a qué mods estaban suscritos mis hijos, y descubro que un chaval de catorce años se suscribe a mods con la misma alegría con la que tú aceptas cookies.

Minuto 40. Análisis completo a los tres equipos. Todo limpio, a primera vista. Y fuera todos los mods, los buenos también: cuando no puedes distinguir cuál es cuál, la superficie de ataque se reduce por la vía rápida.

Minuto 45. El discurso. Ese que empieza con «esto no es un castigo, es que os quiero explicar una cosa» y que ellos escuchan con la misma atención con la que yo escuchaba a mi padre hablando del recibo de la luz.

Y aquí está el chiste: el irresponsable fui yo. El paranoico de la familia, el que no da la clave del wifi y el que dice que no a las APK, fue quien instaló el juego. En tres ordenadores. Ser desconfiado no te salva: te da margen, que no es poco pero no es lo mismo.

Interludio: la clave del wifi

Como el susto me ha puesto filosófico, aprovecho para mi otra gran batalla doméstica.

Viene un amigo de mis hijos a casa, se sienta, saca el móvil y suelta la frase:

—¿Cuál es la clave del wifi?

Silencio. Mi mujer me mira, que ya sabe lo que viene. Y yo digo la frase que me ha convertido en leyenda del barrio:

—Te doy la de invitados.

Luego llega la cara de «este señor es rarísimo». Pues mira, sí, y tiene su lógica.

Cuando le das a alguien la clave de tu wifi principal no le estás dando internet: le estás metiendo un dispositivo desconocido dentro de tu red. Y en esa red están el NAS con las fotos de veinte años, la impresora que en muchos modelos es un pequeño servidor web sin actualizar desde 2019, los cacharros conectados de la casa y el propio router, con su panel esperando pacientemente a que alguien pruebe admin / admin.

Ese móvil no es malo, ni su dueño tampoco. Pero es un equipo del que no sabes nada: qué versión de Android lleva, qué APK se instaló en marzo, qué aplicación con demasiados permisos tiene abierta. Y la clave, además, no se queda donde la diste.

La red de invitados existe precisamente para esto: da internet, no da acceso a tus cacharros y se le puede cambiar la contraseña cuando quieras sin reconfigurar media casa.

Eso sí, con una comprobación que casi nadie hace: «red de invitados» no significa lo mismo en todos los routers. Antes de fiarte, mira dos ajustes: que esté activado el aislamiento entre clientes y que esté cortado el acceso a la red principal y al panel del router. Si no permite ninguna de las dos cosas, tienes una red con otro nombre, no una red aparte.

Lo de la red de invitados y lo de las contraseñas van del mismo par de manos, por cierto: ya escribí sobre la contraseña fácil y otras formas elegantes de invitar al caos.

Y sí: tengo la red de invitados en un QR pegado en la nevera. Porque ser cuidadoso no está reñido con ser hospitalario. Está reñido con ser cómodo, que es distinto.

Segundo interludio: «aita, instálame el PGSharp»

El clásico atemporal de mi casa. PGSharp es un cliente modificado de Pokémon GO para Android que permite, entre otras cosas, mover tu posición GPS sin moverte del sofá, y se instala como APK, fuera de Google Play.

La conversación es siempre igual:

—Aita, todo el mundo lo tiene. —Ya. —Y no pasa nada. —Ya. —Es que si no, no puedo pillar los de Japón. —Ya.

Y luego llega mi respuesta, que ellos ya recitan conmigo como el estribillo de una canción del verano. Va en tres partes:

Uno: es un APK de fuera de la tienda. Para instalarlo hay que autorizar la instalación de aplicaciones desde una fuente externa a Google Play, con lo que renuncias a la revisión previa de la tienda para instalar algo que no estás en condiciones de evaluar. Los APK sí van firmados y Android comprueba que las actualizaciones lleguen con la misma firma, pero esa firma no acredita quién hay detrás ni si merece confianza, y el canal por el que llegan las actualizaciones no lo audita nadie. Más los permisos que pide, que en una aplicación así conviene mirar de cerca.

Dos: le das acceso a tu cuenta. Para usarlo tienes que autorizar a un cliente no oficial a entrar en ella. Puede que la autenticación se abra en una página legítima y que nunca escribas la contraseña dentro del cliente, pero eso no lo convierte en oficial: al terminar, esa aplicación modificada opera con tu sesión o con un token de acceso. Aunque sus autores sean gente honrada —que puede—, la regla es la misma: no des acceso a una cuenta que te importe desde clientes modificados o no autorizados.

Tres: te pueden banear. Porque va contra las normas del juego. Y perder una cuenta de cinco años por un Pokémon de Kioto es un precio malísimo.

¿Y qué consigo con este discurso? Veinte minutos de ser el peor padre de España, cargo honorífico que ostento con orgullo junto al de «el único padre que no deja ver el móvil en la cena». Aunque el argumento que les convence no es ninguno de los tres: es preguntarles quién paga esto y qué saca a cambio. Los niños pillan la economía del truco mucho antes que la criptografía.

El patrón, que es siempre el mismo

Todo lo anterior es la misma historia contada tres veces:

Muchas veces el riesgo no está en el sistema principal, sino en aquello a lo que le damos permiso para ampliarlo. Es lo que contaba en «No necesito mantenimiento web»: en WordPress, muchos incidentes aprovechan plugins o temas vulnerables antes que el propio núcleo, empezando por el plugin de galerías que instalaste en 2021. Llevamos veinte años perfeccionando la extensibilidad —plugins, mods, extensiones de navegador, skills, MCP servers— y el modelo de confianza es siempre igual de frágil: el complemento hereda los privilegios del anfitrión, y al anfitrión le pides referencias mientras que al complemento le das a «Suscribirse».

El manual del padre pesado (versión aplicable a tu empresa)

Todo esto se traduce en unas cuantas reglas que sirven igual para el PC del salón que para la oficina. Son aburridas, como todo lo que funciona.

1. Cuenta sin permisos de administrador para el día a día. Limita el destrozo, no lo evita: un troyano con tu usuario normal sigue viendo tus documentos y tus sesiones.
2. Tiendas y webs oficiales. No garantizan nada —estos dos mapas pasaron la revisión de Steam—, pero reducen la probabilidad y dejan a alguien a quien reclamar.
3. Los mods, con criterio, y si sale una noticia como la de hoy, fuera todos.
4. Segundo factor y gestor de contraseñas en todo lo que tenga valor, para que el día que se filtre una, se filtre una.
5. Y ante una sospecha, medir antes de decidir. Formatear no es la respuesta automática: sin indicios, se analiza, se revisa qué se instaló y qué sesiones hay abiertas y se cambian las contraseñas desde otro equipo. Cuando quien investiga el caso recomienda reinstalar —como aquí—, se reinstala. En una empresa el orden sería otro: aislar el equipo de la red, no apagarlo si hay que conservar evidencias y avisar antes de borrar nada.

Y para terminar

Esta tarde mis hijos volverán a jugar. Sin mods, con la cuenta limitada, con el segundo factor que les puse la primavera pasada entre protestas, y con un padre que se ha ganado unos meses más de credibilidad gracias a un camaleón.

Sigo siendo el pesado. Pero hoy he sido el pesado que tenía razón, que es una categoría rarísima y de duración limitadísima —calculo que hasta el próximo juego viral— y pienso disfrutarla entera.

Porque la seguridad doméstica no va de saber mucho: va de aguantar el tirón social, que es un trabajo ingrato, invisible y sin agradecimientos. Vamos, que es básicamente ser sysadmin, pero de tu propia casa y sin que te paguen.

(Y sin cesta de fruta.)