El camaleón, el PGSharp y la clave del wifi

Hay una frase que en mi casa funciona como una cuenta atrás:

—Aita… ¿nos lo instalas? Es que lo juega todo el mundo.

Y ahí estaba yo, hace unas semanas, comprando tres copias del juego viral del momento. Una para cada uno. Tres ordenadores, tres cuentas, una tarde entera de "espera que actualiza".

Yo no soy de estas cosas. Que quede claro. No me gustan los juegos que hay que jugar porque los juega todo el mundo, ni los que llevan dos semanas en el mundo y ya tienen a doscientos influencers gritando en miniatura de YouTube con la boca muy abierta y una flecha roja. Mi instinto ante un fenómeno viral es exactamente el mismo que ante un correo de "su paquete está retenido en aduanas": primero desconfiar, luego ya veremos.

Pero eran mis hijos. Y era jugar los tres juntos. Y hay batallas que un padre elige no librar.

Esta mañana he abierto el móvil y me he encontrado la noticia: unos mods del juego llevaban malware dentro, y a los afectados les recomiendan formatear el ordenador.

Formatear. El ordenador. De mis hijos. Que instalé yo.

Bien.

Qué ha pasado, en cristiano

El juego es Meccha Chameleon, el pelotazo del mes en Steam: un escondite multijugador que en pocos días ha juntado a cientos de miles de jugadores. Como casi todo éxito en Steam, tiene Workshop: un sitio donde cualquiera sube mapas y mods y cualquiera se los descarga con un clic.

Un jugador de la comunidad, conocido como Feint, se puso a mirar un par de mapas con cariño y encontró la sorpresa. Dos de ellos —Laser Tag Neon y Chroma Grid Arena— no eran mapas. Eran un dropper: un envoltorio bonito con un instalador de malware dentro.

El truco, resumido y sin florituras:

1. El mapa incluye lógica del propio motor del juego que se ejecuta al empezar la partida.
2. Esa lógica escribe un .bat en tu carpeta de Documentos.
3. El .bat llama a PowerShell.
4. PowerShell se descarga la carga útil de un servidor externo.
5. A partir de ahí ya no estamos hablando de un videojuego.

Fíjate en el punto 1, que es el que da miedo: no bastaba con suscribirse, pero tampoco hacía falta hacer nada raro. Solo jugar. El vector de ataque era jugar al juego. Ni descargar un crack, ni abrir un adjunto, ni pinchar un enlace de un SMS de Correos. Darle a "Jugar".

Y la traca final, que es la parte que a mí me parece más instructiva de todas: se infectó gente del propio equipo del juego mientras investigaba el bicho. Un equipo de pruebas, dicen, ya formateado. Con eso, el atacante llegó al Discord oficial —más de cien mil personas— y baneó a todos los administradores. El servidor estuvo secuestrado un rato largo.

Que un profesional se infecte investigando malware no es una anécdota graciosa: es el recordatorio de que esto no va de "listos" y "tontos". El malware no se salta a los que saben. Solo tarda un poco más.

Los mapas ya están fuera, el fallo que explotaban se corrigió en la versión 3.1.0 y el juego base —insisten los desarrolladores— está limpio. El problema nunca fue el juego. Fue lo que la gente le enchufó al juego.

Mi mañana, minuto a minuto

Voy a ser honesto porque creo que es la parte útil del artículo.

Minuto 1. Leo el titular. Se me pone esa cara de "a ver, tranquilo" que en realidad significa "nada tranquilo".

Minuto 2. Voy a mirar a qué mods estaban suscritos mis hijos. Aquí es donde uno descubre que un niño de doce años se suscribe a mods con la misma alegría con la que tú aceptas cookies.

Minuto 5. Análisis a los equipos. Completo, no el rapidito.

Minuto 40. Todo limpio. A primera vista.

Minuto 41. Desuscripción de todos los mods del juego. Todos. Los buenos también. Sí, ya sé que la mayoría eran inofensivos. Me da igual: cuando no puedes distinguir cuál es cuál, la superficie de ataque se reduce por la vía rápida.

Minuto 45. El discurso. Ya sabes cuál. Ese que empieza con "esto no es un castigo, es que os quiero explicar una cosa" y que ellos escuchan con la misma atención con la que yo escuchaba a mi padre hablando del recibo de la luz.

Y aquí está el chiste de todo esto: el irresponsable fui yo. El paranoico de la familia, el que no da la clave del wifi, el que dice que no a las APK, el que tiene el router configurado como si fuera una embajada… fue quien instaló el juego. En tres ordenadores.

Ser desconfiado no te salva. Te da margen. Que no es poco, pero no es lo mismo.

Interludio: la clave del wifi

Como el susto me ha puesto filosófico, aprovecho para hablar de mi otra gran batalla doméstica.

Viene un amigo de mis hijos a casa. Se sienta. Saca el móvil. Y suelta la frase:

—¿Cuál es la clave del wifi?

Silencio. Mi mujer me mira. Ella ya sabe lo que viene. Yo respiro hondo y digo la frase que me ha convertido en leyenda del barrio:

—Te doy la de invitados.

Y entonces pasa lo de siempre: la cara de "este señor es rarísimo".

Pues mira, sí. Vamos a explicarlo, que tiene su lógica.

Cuando le das a alguien la clave de tu wifi principal, no le estás dando internet. Le estás metiendo un dispositivo desconocido dentro de tu red. Y en tu red están:

• El NAS con las fotos de veinte años y los papeles del seguro.
• La impresora, que en muchos modelos es literalmente un pequeño servidor web sin actualizar desde 2019.
• Las cámaras, si las hay.
• El termostato, el enchufe inteligente, la tele, la aspiradora robot y ese aparato que compraste en oferta y cuyo fabricante ya ni existe.
• Y el propio router, con su panel de administración esperando pacientemente a que alguien pruebe admin / admin.

Ese móvil que se conecta no es malo. Su dueño tampoco. Pero es un equipo del que no sabes nada: qué versión de Android lleva, qué APK se instaló en marzo, qué app de linternas con permisos de dios tiene abierta. Y esa clave, además, no se queda ahí: se la pasa a un hermano, se guarda en una copia de seguridad en la nube, viaja por un grupo de WhatsApp llamado "Quedada casa Marcos".

La red de invitados existe precisamente para esto. Está en tu router. Se activa en tres clics. Da internet, no da acceso a tus cacharros, y se le puede cambiar la contraseña cuando quieras sin tener que reconfigurar media casa.

Lo de la red de invitados y lo de las contraseñas van del mismo par de manos, por cierto: ya escribí sobre la contraseña fácil y otras formas elegantes de invitar al caos.

Y sí: tengo la red de invitados en un QR pegado en la nevera. Porque ser cuidadoso no está reñido con ser hospitalario. Está reñido con ser cómodo, que es distinto.

Segundo interludio: «aita, instálame el PGSharp»

Este es el clásico atemporal de mi casa.

Para quien no lo sepa: PGSharp es un cliente modificado de Pokémon GO para Android que permite, entre otras cosas, mover tu posición GPS sin moverte del sofá. Se instala como APK, fuera de Google Play.

La conversación es siempre igual:

—Aita, todo el mundo lo tiene. —Ya. —Y no pasa nada. —Ya. —Es que si no, no puedo pillar los de Japón. —Ya.

Y luego llega mi respuesta, que ellos ya se saben de memoria y recitan conmigo como si fuera el estribillo de una canción del verano. Va en tres partes:

Uno: es un APK de fuera de la tienda. Para instalarlo hay que desactivar protecciones del móvil y decirle explícitamente al sistema "confío en esto". No es que sea ilegal ni que vaya a explotar el teléfono. Es que estás desactivando el único filtro que tenías para instalar algo que no puedes verificar. Y no lo bajas una vez: lo actualizas cada dos por tres, desde una web, sin firma que tú puedas comprobar. Cada actualización es una nueva oportunidad de que alguien haya cambiado el fichero por otro.

Dos: le entregas tu cuenta. Un cliente modificado necesita que te identifiques dentro de él. Estás metiendo tus credenciales en una aplicación que no es de quien hizo el juego. Aunque sus autores sean gente honrada —que puede— la regla no cambia: las credenciales solo se escriben en la app oficial o en la web oficial. Siempre. Sin excepciones simpáticas.

Tres: te pueden banear. Porque va contra las normas del juego. Y perder una cuenta de cinco años por un Pokémon de Kioto es un precio malísimo.

¿Y qué consigo con este discurso? Veinte minutos de ser el peor padre de España. Lo asumo. Es un cargo honorífico que ostento con orgullo desde hace años, junto con el de "el único padre que no deja ver el móvil en la cena" y "el que pregunta qué permisos pide esa app".

Lo curioso es que el argumento que les convence no es ninguno de los tres. Es este otro: "si algo gratis te da una ventaja que nadie más te da, el producto no es la ventaja. El producto eres tú". Eso sí lo entienden a la primera. Los niños pillan la economía del truco mucho antes que la criptografía.

El patrón, que es siempre el mismo

Y aquí es donde el freak baja del monte con las tablas de la ley, porque todo lo anterior es exactamente la misma historia contada tres veces:

Lo que se rompe casi nunca es el sistema. Es lo que le enchufamos al sistema.

Es idéntico a lo que contaba en «No necesito mantenimiento web»: nadie hackea WordPress, hackean el plugin de galerías que instalaste en 2021 porque hacía un carrusel bonito. El core está bien. La extensión, no. Y la extensión tiene tus mismos permisos.

Nuestra industria lleva veinte años perfeccionando la idea de la extensibilidad —plugins, mods, add-ons, extensiones de navegador, skills, MCP servers, lo que venga el año que viene— y en todos los casos el modelo de confianza es el mismo y es igual de frágil: el complemento hereda los privilegios del anfitrión. El mapa de Steam corre con tus permisos. La extensión del navegador ve lo que tú ves. El plugin de WordPress puede hacer lo que puede hacer WordPress.

Con la diferencia de que al anfitrión le pides referencias y al complemento le das a "Suscribirse".

El manual del padre pesado (versión aplicable a tu empresa)

Todo esto se traduce en unas cuantas reglas que sirven igual para el PC del salón que para la oficina. Son aburridas. Todas las cosas que funcionan lo son.

1. Cuenta sin permisos de administrador para el día a día. En casa y en el trabajo. Si el malware entra con una cuenta limitada, entra cojo. Es la medida más eficaz y la que menos gente aplica.
2. Red de invitados, siempre. Y si el router lo permite, los cacharros IoT en su propia red. La tele no necesita ver el NAS. Nunca lo ha necesitado.
3. Nada de APK ni de .exe de sitios con banners parpadeantes. Tiendas oficiales o webs oficiales. Punto.
4. Los mods, con criterio. Si te suscribes a mapas y mods, mira la fecha, las suscripciones, los comentarios y quién lo firma. Y si sale una noticia como la de hoy, desuscríbete de todo y vuelve a empezar. Perder mapas es gratis. Recuperar una identidad, no.
5. 2FA en todo lo que tenga valor. Steam, correo, banco, redes. Y en lo posible con app o llave física, no por SMS.
6. Gestor de contraseñas. Para que el día que se filtre una, se filtre una.
7. Copias de seguridad que hayas restaurado alguna vez. Un backup sin restaurar no es un backup, es un acto de fe. De esto hablé largo y tendido en el post del Día del Sysadmin.
8. Si hay sospecha seria, formatear. Duele, da pereza y se pierde la tarde. Sigue siendo más barato que la alternativa. "Le he pasado el antivirus y no sale nada" significa "no sale nada", no "no hay nada".

Y para terminar

Esta tarde mis hijos volverán a jugar. Sin mods, con la cuenta limitada, con el 2FA que les puse la primavera pasada entre protestas, y con un padre que se ha ganado unos meses más de credibilidad gracias a un camaleón japonés.

No he pasado a ser el gracioso de la casa. Sigo siendo el pesado. Pero hoy he sido el pesado que tenía razón, que es una categoría rarísima y de duración limitadísima —calculo que hasta el próximo juego viral, unas tres semanas— y pienso disfrutarla entera.

Porque al final la seguridad doméstica no va de saber mucho. Va de aguantar el tirón social. De ser el que dice "te doy la de invitados" con una sonrisa mientras el resto de la habitación te mira raro. De decir que no al APK sabiendo que en el patio del colegio quedas fatal.

Es un trabajo ingrato, invisible y sin agradecimientos.

Vamos, que es básicamente ser sysadmin, pero de tu propia casa y sin que te paguen.

(Y sin cesta de fruta.)