Cuando se habla de ciberamenazas, la mayoría de los usuarios piensa en los siniestros virus de rescate que bloquean archivos y piden un rescate. Pero existe una categoría de malware mucho menos visible y, a menudo, más peligrosa: los infostealers. Son los "carteristas" invisibles del mundo digital: se infiltran en el sistema, roban información valiosa en silencio y desaparecen, dejando a la víctima sin sospechar nada. Si es difícil no notar un cifrador, la actividad de un infostealer suele pasar desapercibida hasta que tus contraseñas, datos bancarios o cuentas aparecen en la red.
Los infostealers son una clase de software malicioso creada con un único objetivo: recopilar y enviar al atacante la mayor cantidad posible de datos confidenciales del dispositivo infectado. No se anuncian, no ralentizan el equipo ni muestran banners aterradores. Su misión es ser discretos y eficaces. En este artículo explicamos en detalle cómo funcionan los infostealers, qué vectores de infección usan, qué datos buscan, cómo "se filtra" la información y, sobre todo, cómo evitar caer y qué hacer si la amenaza ya está dentro.
Qué es un infostealer y cuál es su objetivo
Los infostealers (del inglés info-stealer — "ladrón de información") son programas maliciosos especializados en el robo de datos de usuario. No se dedican al chantaje, a la destrucción de archivos ni a la instalación de rootkits. Su tarea es sencilla: reunir la mayor cantidad de información posible —desde contraseñas hasta el contenido de monederos de criptomonedas— y enviarla rápidamente al operador.
El infostealer clásico es un "invisible" que, tras infiltrarse en el sistema, analiza los almacenes de los navegadores, el sistema de archivos, la caché de mensajería y clientes de correo, busca capturas de pantalla, tokens, cookies, sesiones y cualquier otro "bocado apetecible". Todo lo robado se envía por un canal preconfigurado (por ejemplo, mediante un bot de Telegram, correo, solicitudes HTTP o incluso FTP) al servidor del atacante. Después, el infostealer puede eliminarse o permanecer en el sistema para recopilar nuevos datos.
Cómo llegan los infostealers al dispositivo: vectores de infección
La razón principal de la infección por infostealers es la imprudencia del usuario y las debilidades en la seguridad corporativa o personal. Estos son los canales de propagación más populares:
- Correos y sitios de phishing. El clásico: un mensaje con un archivo adjunto (Word, PDF, ZIP) que contiene código malicioso oculto, o un enlace a un sitio falso con una "actualización", un "controlador" o una "oferta ventajosa". El usuario ejecuta el programa y el infostealer aparece.
- Programas pirateados o alterados. A menudo los infostealers se ocultan en versiones "crackeadas" de Photoshop, Windows, juegos, complementos para navegadores e incluso en trampas para juegos. La ilusión de lo gratis puede acabar en pérdida de cuentas y dinero.
- Exploits y vulnerabilidades. Algunos infostealers avanzados se propagan mediante exploits para versiones antiguas de software (por ejemplo, vulnerabilidades en Microsoft Office, Flash o lectores de PDF), lo que permite infectar el sistema sin intervención del usuario (los llamados drive-by-download).
- Ingeniería social. Escenarios clásicos como enviar un "currículum", un "contrato" o incluso un "documento para impuestos" a correo corporativo, haciéndose pasar por un proveedor o colega real.
- Extensiones maliciosas para navegadores. Algunos infostealers se disfrazan de extensiones "útiles" que solicitan acceso para ver todos los datos en las páginas; luego sólo es cuestión de técnica.
Qué datos buscan los infostealers
La lista de datos de interés depende de la "especialización" del malware concreto, pero por lo general se buscan:
- Contraseñas y credenciales. Todo lo almacenado en navegadores, clientes FTP, clientes de correo, mensajería e incluso en algunos juegos. Los infostealers "abren" los almacenes protegidos de navegadores populares (Chrome, Firefox, Opera, Edge, Brave, Vivaldi, etc.) para extraer nombres de usuario y contraseñas de sitios, correo y portales corporativos.
- Cookies y sesiones. Estos pequeños fragmentos de información permiten eludir la autenticación en dos pasos: robando tus cookies de Facebook o Telegram, el atacante puede entrar en tu cuenta desde otro dispositivo sin contraseña ni confirmación.
- Datos de monederos y tokens. Roban archivos wallet.dat, claves privadas, frases semilla, archivos JSON de Metamask y otras extensiones, así como tokens de sesión.
- Datos de autocompletado (direcciones, teléfonos, tarjetas bancarias). Muchos navegadores y aplicaciones almacenan esta información "por comodidad". Los infostealers la extraen con facilidad.
- Documentos personales y archivos. A menudo buscan archivos por extensiones o palabras clave (passport, secret, password, scan, wallet, etc.), especialmente si el malware está dirigido a sistemas corporativos.
- Capturas de pantalla y fotos desde la cámara web. Algunos infostealers avanzados hacen capturas justo después de ejecutarse o al abrir determinadas aplicaciones para obtener interfaces de banca, monederos de criptomonedas y similares.
Principales tipos de infostealers
A pesar de la multitud de nombres, se pueden distinguir varias variantes clave según la mecánica y los objetivos:
- Infostealers de navegador. Se especializan en recopilar datos desde navegadores: contraseñas, cookies, historial, autocompletado, tarjetas guardadas y direcciones.
- Cryptostealers. Van a por monederos de criptomonedas, claves y frases semilla. Muchos trabajan específicamente con extensiones populares (por ejemplo, Metamask, Ronin, Phantom, Trust Wallet).
- Infostealers corporativos. Orientados al robo de documentos, certificados corporativos, claves para VPN y servicios en la nube, y claves SSH.
- Stealers integrales. Combinan todas las funciones anteriores: hacen capturas de pantalla, buscan archivos por patrones y trabajan con varios protocolos de transferencia.
- Infostealers móviles. Funcionan en Android (rara vez en iOS), robando datos de aplicaciones móviles, SMS, notificaciones push y aplicaciones bancarias.
En el mercado "darknet" existe todo un zoológico de infostealers populares: RedLine Stealer, Stealc, Raccoon, Azorult, Lumma, Vidar y muchos otros. Cada año aparecen nuevas modificaciones, más discretas y "flexibles".
Cómo funciona un infostealer: esquema técnico
Tras infiltrarse en un dispositivo, el infostealer suele actuar siguiendo uno de los esquemas clásicos:
- Determina en qué sistema se encuentra (sistema operativo, privilegios, programas instalados, navegadores).
- Extrae contraseñas guardadas de los almacenes de archivos o del registro de los navegadores, usando herramientas integradas de Windows o bibliotecas especializadas para eludir la protección (por ejemplo, descifrando la base de Chrome con la clave DPAPI de Windows).
- Recopila cookies, datos de autocompletado, archivos de monedero y claves, datos de clientes FTP, mensajería y correo.
- Busca archivos concretos en carpetas del sistema y en escritorios, escanea contenidos por patrones o palabras clave.
- En algunos casos toma capturas de pantalla y copia el portapapeles.
- Empaqueta todos los datos en un archivo o en un formato especial.
- Envía el paquete al atacante a través del canal establecido (más abajo se describen estos canales).
- Occasionalmente se elimina a sí mismo o se "esconde" para seguir operando.
Cómo se transfieren los datos al atacante
El transporte de los datos robados es todo un arte. Cuantos menos paquetes sospechosos y tráfico inusual haya, más posibilidades de que el infostealer pase desapercibido.
- Solicitudes HTTP(S). Con frecuencia el archivo robado se envía a un servidor web preparado mediante una solicitud POST —a veces con un formato que imita peticiones legítimas.
- Bots y chats de Telegram. Los stealer modernos usan activamente bots de Telegram: cifran los datos y los envían por la API de Telegram directamente a un canal o al privado del operador. Ese tráfico es difícil de bloquear.
- Correo electrónico. Algunos stealer antiguos envían datos por SMTP al correo del atacante; hoy en día este método es menos común.
- FTP/SFTP/SCP. El malware establece conexión con un servidor remoto y sube el archivo.
- Servicios en la nube. A veces se usan servicios legítimos como Dropbox, Google Drive o Mega, donde el infostealer sube los datos mediante API.
La transmisión puede ser única (inmediatamente después de la infección) o periódica (el malware permanece y "envía la cosecha" diariamente o semanalmente).
Cómodo usan y explotan los atacantes los datos robados
Una vez que el atacante dispone de los datos, puede usarlos directamente (por ejemplo, para acceder a servicios bancarios, intercambios o portales corporativos) o vender los "dumps" en el darknet. Existen plataformas y bots de Telegram donde, por pocos dólares, se puede comprar un "log" reciente (un archivo con contraseñas, cookies, sesiones y archivos) de la víctima.
Los datos más valiosos son contraseñas bancarias, accesos al correo empresarial, cuentas en exchanges y monederos de criptomonedas, tokens de Telegram/WhatsApp/Discord. Incluso si el atacante no roba dinero directamente, puede vender el acceso a un "especialista": un phisher, un ingeniero social, alguien que blanquee fondos o envíe spam. Un equipo infectado también puede emplearse para propagar ataques adicionales, por ejemplo, enviar correos masivos o instalar otro malware.
Protección preventiva contra infostealers: qué hacer antes
Prevenir la infección es mucho más sencillo que arreglar las consecuencias. Estas medidas básicas realmente funcionan:
- No descargues "cracks" ni programas sospechosos. Las versiones pirateadas son el primer y principal canal de difusión de los stealers. Si necesitas verificar archivos, usa VirusTotal.
- Sé prudente con adjuntos y enlaces. Aunque el correo venga "de un colega", comprueba que la dirección no esté suplantada. Nunca abras adjuntos sospechosos.
- Usa un antivirus con detección de scripts maliciosos y análisis de comportamiento. Las soluciones integrales que monitorizan actividad atípica de las aplicaciones funcionan mejor (por ejemplo, intentos de acceso a carpetas del navegador o exportaciones automáticas de contraseñas).
- Mantén el sistema y los programas actualizados. Muchas ataques aprovechan vulnerabilidades antiguas. Las actualizaciones no son solo para aparentar.
- No guardes todas las contraseñas en el navegador. Es preferible usar gestores de contraseñas independientes, como Bitwarden o KeePass. La mayoría de los stealers se dirigen precisamente a los almacenes integrados del navegador.
- Activa la autenticación de dos factores (2FA) donde sea posible. Aunque roben las contraseñas, el atacante no podrá entrar sin el segundo factor.
- Revisa la lista de extensiones instaladas en el navegador. Elimina todo lo que no uses o no recuerdes haber instalado.
- Controla tus cookies y bórralas periódicamente. Puedes hacerlo manualmente o con extensiones como Cookie-Editor.
Qué hacer si un infostealer ya infectó el equipo
Si la infección ya ha ocurrido, es importante actuar rápido y con determinación. Este es un plan paso a paso:
- Desconecta el dispositivo de Internet. Eso detendrá la transmisión de datos al atacante.
- Realiza un análisis con un antivirus o escáneres especializados. Son útiles Kaspersky Virus Removal Tool, Dr.Web CureIt!, el escáner de Malwarebytes y otros. Es mejor analizar en "modo seguro".
- Revisa el inicio automático y la lista de procesos. Los infostealers suelen añadirse al inicio. Usa Autoruns para buscar entradas sospechosas.
- Elimina todas las contraseñas guardadas en navegadores y aplicaciones, y cámbialas desde dispositivos seguros. Primero borra las contraseñas, cookies y tokens guardados; luego cámbialas manualmente para evitar que los nuevos datos sean robados de nuevo.
- Revisa y elimina extensiones sospechosas del navegador.
- Cierra las sesiones en todos los servicios (correo, redes sociales, bancos, exchanges). Normalmente se puede hacer desde el apartado de seguridad de la cuenta: finaliza todas las sesiones activas.
- Comprueba que no se hayan añadido dispositivos de confianza sospechosos.
- Tras la limpieza, conviene reinstalar el sistema desde cero. Es la medida más drástica pero la más fiable.
Si detectas que alguna cuenta ya ha sido comprometida, contacta urgentemente con el soporte del servicio correspondiente y bloquea el acceso.
Conclusión: la vigilancia es la mejor protección
El mundo de los infostealers evoluciona tan rápido como las herramientas antimalware y las soluciones de defensa. Cada año estos malware se vuelven más astutos, menos detectables, aprenden a eludir antivirus, a usar canales legítimos de transferencia de datos e incluso a imitar la actividad normal del usuario. Pero, en la mayoría de los casos, la clave para la seguridad es sencilla: atención, actualizaciones regulares del software y un poco de desconfianza saludable al trabajar con archivos y enlaces.
El recurso más valioso en la era digital son tus datos. Contraseñas, tokens, cookies, claves privadas y documentos robados pueden convertir la recuperación del control sobre cuentas y finanzas en una odisea. No confíes en el autocompletado para todo, evita guardar todas las contraseñas en el navegador y no ignores alertas de "inicio sospechoso". Y si el problema ya ocurrió: actúa sin demora: desconecta el dispositivo, límpialo, cambia contraseñas y avisa al soporte.
