Infostealer
Un infostealer es una familia de malware cuyo único objetivo es extraer datos y salir. No cifra archivos ni pide rescate: recolecta credenciales guardadas, cookies de sesión, tokens de acceso, historial, datos de formularios y carteras de criptomonedas, los empaqueta en un archivo conocido como log y lo envía a la infraestructura del atacante en cuestión de segundos.
Cómo funciona un infostealer
La ejecución es rápida y deliberadamente ruidosa por poco tiempo. Al correr en el equipo, el stealer recorre rutas conocidas: perfiles de navegador donde se almacenan contraseñas y cookies, clientes de correo, configuraciones de VPN y FTP, gestores de contraseñas mal protegidos y directorios de carteras cripto.
Con esos datos arma el log, lo exfiltra por HTTP o por un canal de mensajería, y en muchos casos se autoelimina. Esa es la diferencia operativa más importante frente a otro malware: no busca persistencia. Cuando alguien revisa el equipo días después, puede no encontrar rastros, y eso se interpreta erróneamente como que no hubo incidente.
El ecosistema funciona bajo un modelo de malware as a service. Un operador renta el stealer por suscripción, infecta a escala sin un objetivo definido, y vende los logs resultantes en mercados. Quien compra el log rara vez es quien infectó. Esa separación explica por qué el acceso a tu empresa puede explotarse semanas o meses después de la infección original.
Por qué el segundo factor no alcanza
El activo más valioso del log no es la contraseña: es la cookie de sesión. Una cookie válida representa una sesión ya autenticada. Quien la importa en su propio navegador entra a la aplicación sin contraseña y sin pasar por el segundo factor, porque desde el punto de vista del servicio esa sesión ya superó la autenticación.
De ahí se desprende una consecuencia que muchos equipos pasan por alto: cambiar la contraseña del usuario afectado no cierra el acceso. Si no revocas las sesiones activas y los tokens emitidos, el atacante sigue dentro con la sesión que robó.
Cómo llega a los equipos de tu empresa
Los vectores más comunes no dependen de una vulnerabilidad técnica sino de una decisión del usuario:
- Software pirata, cracks y activadores descargados para evitar una licencia.
- Instaladores falsos de herramientas legítimas, posicionados con anuncios o con manipulación de resultados de búsqueda.
- Archivos adjuntos y enlaces de campañas de phishing.
- Extensiones de navegador maliciosas y repositorios de código suplantados.
El escenario más frecuente en empresas de la región es el equipo personal: un colaborador con sesiones corporativas abiertas en su navegador doméstico, fuera de cualquier control de TI. El dispositivo no está inventariado, pero las credenciales que guarda sí son corporativas.
Cómo se detecta y se contiene
Una infección por stealer se trata como una brecha de credenciales. Los pasos a seguir para contenerlo son:
- Revocar todas las sesiones y tokens activos del usuario afectado, antes que cualquier otra acción.
- Rotar las credenciales de todos los servicios que el navegador tuviera guardados, no solo las del servicio donde se detectó la actividad.
- Reinstalar el equipo comprometido desde cero. Eliminar el archivo malicioso no revierte lo que ya se exfiltró ni garantiza que no quedó otro componente.
- Prohibir por política el almacenamiento de credenciales corporativas en el navegador y migrarlas a un gestor con cifrado propio.
- Monitorear mercados y foros donde se comercializan logs, buscando dominios y correos de la organización.
- Activar telemetría de endpoint que alerte sobre accesos anómalos a los directorios de perfiles de navegador, que es la señal temprana más confiable.
La detección temprana depende menos del antivirus que de la capacidad de correlacionar un acceso exitoso desde una geografía o dispositivo nuevo con una sesión que nunca debió reutilizarse. Un antimalware de nueva generación tiene módulos antispyware que pueden ayudarte a contener este tipo de eventos.
