Infostealer

Infostealer, también conocido como stealer o ladrón de información, es un tipo de malware diseñado específicamente para extraer y exfiltrar datos sensibles de los dispositivos infectados, operando de manera silenciosa en segundo plano sin el conocimiento del usuario.

A diferencia de otros tipos de malware que buscan causar un daño inmediato o visible, como el ransomware o los wipers, los infostealers priorizan la recopilación sigilosa de datos para su posterior monetización. Esto los convierte en una herramienta especialmente valorada por grupos de crimeware y actores con motivación financiera.

Este tipo de malware puede extraer una amplia variedad de información, entre la que se incluye:

• Credenciales almacenadas en navegadores web, como usuarios y contraseñas guardadas
• Cookies de sesión, que permiten al atacante suplantar sesiones activas sin necesidad de conocer la contraseña
• Datos de autocompletado e información de tarjetas de crédito guardadas en el navegador
• Claves y wallets de criptomonedas
• Archivos del escritorio y documentos con información sensible
• Capturas de pantalla y pulsaciones de teclado (keylogging)
• Credenciales de clientes de correo electrónico y gestores de contraseñas

Los adversarios suelen distribuir infostealers a través de diversos vectores de ataque. El phishing es uno de los métodos más comunes, donde los usuarios reciben correos con archivos adjuntos maliciosos o enlaces que descargan el malware. También se propagan mediante software pirata, actualizaciones falsas de programas legítimos (fake updates) o a través de plataformas como YouTube y Discord, donde se distribuyen bajo la apariencia de software legítimo.

Algunos de los infostealers más activos y documentados en los últimos años son:

• Redline Stealer uno de los más distribuidos globalmente, comercializado como Malware-as-a-Service (MaaS) en foros clandestinos. Destaca por su capacidad de robar credenciales de navegadores, wallets de criptomonedas y datos de VPN.
• Raccoon Stealer también operado como MaaS, fue desmantelado parcialmente por las autoridades en 2022 pero resurgió con una segunda versión. Su bajo coste de suscripción lo hizo especialmente popular entre actores de menor sofisticación.
• Lumma Stealer altamente activo durante 2024 y 2025, con capacidades avanzadas de evasión y una infraestructura C2 robusta. Ha sido utilizado en campañas dirigidas a sectores tecnológicos y financieros.

En el contexto de la ciberinteligencia y amenazas, los infostealers tienen un papel clave en el ecosistema del cibercrimen. Los datos robados, especialmente los logs que contienen credenciales y cookies, se venden en mercados clandestinos como Genesis Market (desmantelado en 2023) o Russian Market. Estos logs son adquiridos habitualmente por Initial Access Brokers (IABs), actores especializados en vender acceso inicial a redes corporativas a otros grupos, como operadores de ransomware. Esto convierte al infostealer en el primer eslabón de cadenas de ataque mucho más complejas, siendo especialmente relevante su seguimiento desde una perspectiva CTI.