El infostealer es el malware más rentable del mercado criminal en este momento y también el menos visible para quien lo sufre. No cifra archivos, no pide rescate, no hace nada dramático. Entra, roba lo que necesita y sale. En el mejor de los casos, descubres que tus credenciales circulan en Telegram cuando alguien ya las ha usado.
En 2026, los infostealers son una industria madura con distribución profesional, actualizaciones periódicas, soporte técnico para los compradores y precios que los hacen accesibles para cualquier actor criminal con unos cientos de euros. El modelo de negocio es el mismo que el del software legítimo: suscripciones mensuales, versiones con distintas funcionalidades, foros de soporte.
Qué roba exactamente un infostealer moderno
La respuesta corta es: todo lo que pueda valer dinero o usarse para acceder a más cosas.
Las cookies de sesión son el objetivo más valioso. Una cookie de sesión activa de Gmail o de una cuenta corporativa permite al atacante acceder a esa cuenta sin necesitar la contraseña ni el segundo factor. El robo de cookies elude completamente el 2FA basado en contraseña más código SMS. La técnica se llama pass-the-cookie y es la razón por la que muchas cuentas comprometidas pertenecen a personas que usaban autenticación en dos pasos.
Las contraseñas guardadas en el navegador son el segundo objetivo prioritario. Chrome, Edge y Firefox cifran las contraseñas almacenadas, pero la clave de cifrado deriva de las credenciales del sistema operativo. Un infostealer ejecutándose con los permisos del usuario puede descifrarlas. Todos los navegadores principales son vulnerables a esto.
Las billeteras de criptomonedas, los datos de tarjetas guardados en navegadores, el historial de conversaciones de algunas apps, tokens de acceso de herramientas de desarrollo, claves de API almacenadas en archivos de configuración. Un infostealer completo hace una aspiración de todo lo anterior en segundos y lo empaqueta en un archivo que se envía a un servidor controlado por el atacante.
Cómo llega el infostealer al sistema
Los vectores de entrada más habituales en 2026 son tres.
Software crackeado o activadores. La búsqueda de versiones gratuitas de software de pago sigue siendo el canal de distribución más efectivo para infostealers. Un activador de Windows, una versión pirata de Adobe Premiere, un crack de un juego. El ejecutable instala el programa real para no levantar sospechas y el infostealer corre en paralelo.
Anuncios de Google con descarga maliciosa. El abuso de Google Ads para distribuir malware disfrazado de software legítimo es un problema documentado que lleva activo desde 2022. Búsquedas de "descargar VLC", "descargar 7-Zip" o cualquier software popular pueden mostrar anuncios en la primera posición que llevan a páginas de descarga falsas. La URL puede parecerse a la legítima. El ejecutable descargado tiene el nombre y el icono correcto pero lleva el infostealer incluido.
Phishing dirigido con adjuntos maliciosos. Especialmente en entornos corporativos, el infostealer llega a través de correos que simulan facturas, contratos o notificaciones de servicios conocidos. El fichero adjunto puede ser un PDF que explota una vulnerabilidad del lector, un Excel con macros o un archivo comprimido con un ejecutable.
Los infostealers más activos en este momento
Lumma Stealer es actualmente el más activo por volumen de infecciones según los reportes de inteligencia de amenazas de los últimos meses. Se vende como servicio con precios que arrancan en torno a 250 dólares al mes para la versión básica. Tiene capacidades avanzadas para evadir sandboxes y análisis automático.
Vidar lleva activo desde 2018 y sigue siendo relevante por su precio bajo y la facilidad de configuración. Roba credenciales de más de 80 navegadores y tiene módulos específicos para criptomonedas.
StealC es más reciente y ha ganado popularidad por su interfaz de administración web relativamente pulida que reduce la barrera técnica para atacantes sin experiencia.
Atomic Stealer (AMOS) es relevante específicamente para macOS, un sistema que históricamente había tenido menos malware de este tipo pero que en los últimos dos años ha visto crecer los ataques de infostealer considerablemente.
Qué medidas mitigan el riesgo
El problema de los infostealers es que muchas medidas de seguridad habituales no los detienen. El antivirus ayuda pero no es suficiente: los infostealers modernos tienen tiempos de evasión de firmas de detección que pueden ser de horas desde su distribución.
Las medidas que sí marcan diferencia:
No guardar contraseñas en el navegador. Esta es la medida con mayor impacto inmediato. Usar un gestor de contraseñas externo que requiera su propio proceso de autenticación añade una capa que el infostealer no puede eludir fácilmente. Como analizamos en la comparativa entre Proton Pass y Bitwarden, las alternativas son robustas y gratuitas en su versión básica.
Usar llaves de acceso (passkeys) cuando el servicio lo permite. Las passkeys no son credenciales que se puedan robar de la misma forma que las contraseñas, porque la parte secreta nunca sale del dispositivo. Su adopción ha acelerado en los últimos meses y cada vez más servicios las soportan.
Desconfiar de cualquier descarga que llegue desde un anuncio de búsqueda, independientemente de lo legítimo que parezca el resultado. El vector de Google Ads es especialmente traicionero porque la URL en el anuncio puede parecer la oficial mientras la landing page real es una copia.
Revisar los procesos activos con cierta frecuencia si se trabaja con herramientas de desarrollo o se manejan credenciales de valor. Un infostealer que se ejecuta como proceso legítimo en el sistema es difícil de detectar, pero las anomalías de red (tráfico saliente hacia IPs desconocidas) pueden dar pistas.
El daño real del infostealer no es el momento del robo, que ocurre sin síntomas visibles. Es el tiempo que pasa entre el robo y el descubrimiento, que suele medirse en semanas o meses. Para entonces, las credenciales han pasado por varias manos.
0 Comentarios