Los registros de infostealer están remodelando el panorama de las filtraciones

Durante años, los correos de phishing y las vulnerabilidades de software fueron los puntos de entrada preferidos por los atacantes para infiltrarse en redes corporativas. Eso está cambiando. Los investigadores de seguridad ahora señalan al malware infostealer, y a los registros de credenciales que genera, como el principal precursor de las filtraciones empresariales y los ataques de ransomware. En lugar de elaborar señuelos de phishing convincentes o buscar vulnerabilidades sin parchear, los grupos criminales simplemente compran o intercambian credenciales de inicio de sesión robadas que los infostealers ya han recolectado de dispositivos infectados.

Este cambio es importante porque modifica dónde se encuentra la verdadera vulnerabilidad. Ya no se trata solo de si el firewall o el filtro de correo electrónico de una empresa detectó un enlace malicioso. Se trata de si la computadora personal de un empleado, la computadora doméstica de un contratista o algún dispositivo compartido en la cadena de suministro estuvo infectado alguna vez con malware que roba credenciales, incluso meses o años antes de la filtración final.

Cómo los registros de infostealer alimentan las filtraciones de datos en la nube

Los infostealers son una categoría de malware diseñada con un único propósito: extraer silenciosamente nombres de usuario, contraseñas, cookies del navegador, tokens de sesión y datos de autocompletado de una máquina infectada, para luego enviarlo todo de vuelta al atacante. El resultado suele empaquetarse en lo que el submundo del cibercrimen llama un «log», básicamente un paquete con cada credencial y artefacto de sesión extraído de un dispositivo infectado.

Estos registros se comercializan y venden en mercados delictivos, a menudo a precios bajos dada la gran cantidad que se produce. Lo que los vuelve tan peligrosos para las organizaciones es que con frecuencia contienen cookies de sesión y tokens de autenticación válidos para servicios en la nube, VPNs y portales empresariales. Esto significa que un atacante no necesita adivinar una contraseña ni engañar a alguien para que la introduzca. Potencialmente, puede reutilizar una sesión activa y pasar directamente las pantallas de inicio de sesión e incluso la autenticación multifactor, porque la sesión ya estaba autenticada antes de que el malware la capturara.

Una vez dentro, un solo registro comprometido puede convertirse en el punto de apoyo inicial para una intrusión mucho mayor: movimiento lateral por los entornos en la nube, acceso a unidades compartidas y herramientas internas, y finalmente el tipo de exposición de datos o implementación de ransomware que acapara titulares. La infección en sí podría haber ocurrido en un dispositivo personal que nunca tocó directamente la red corporativa, lo que explica en parte por qué esta vía de ataque es tan difícil de anticipar para los equipos de seguridad.

Por qué las empresas tienen dificultades para mantenerse al día

Las defensas de seguridad tradicionales se construyen bajo la premisa de que los mayores riesgos provienen de intentos externos de intrusión, archivos adjuntos maliciosos, ataques de fuerza bruta o fallos de software sin parchear. Las filtraciones impulsadas por infostealers evitan todo eso. La infección suele originarse mucho más allá del perímetro corporativo, en un dispositivo sobre el que el equipo de seguridad no tiene visibilidad, y las credenciales resultantes son simplemente compradas o adquiridas por un segundo grupo de delincuentes que ejecutan la filtración real.

Esta división del trabajo —un grupo que se especializa en la infección y recolección de registros, y otro en monetizar el acceso— ha hecho que la economía del cibercrimen sea más eficiente y difícil de desarticular. También significa que parchear las vulnerabilidades de software conocidas, aunque sigue siendo esencial, solo aborda una parte del problema. Nuestra cobertura de la campaña de infostealer de FortiClient EMS ilustra cómo los atacantes combinan una vulnerabilidad técnica específica con malware que roba credenciales para establecerse en los sistemas de gestión empresariales, mostrando que las tácticas de infostealer y las explotaciones tradicionales se usan cada vez más juntas en lugar de como estrategias separadas.

Lo que esto significa para ti

Si trabajas en una empresa que depende de servicios en la nube —y hoy en día casi todas lo hacen—, la seguridad de tus dispositivos personales está más relacionada con el riesgo de tu empleador de lo que podrías pensar. Una sola infección de infostealer en una computadora doméstica que se use para consultar el correo del trabajo o iniciar sesión en un portal de la empresa puede generar un registro de credenciales que termine alimentando una filtración mucho mayor más adelante.

Para las personas, esto refuerza algunos hábitos conocidos pero cada vez más urgentes: mantener los dispositivos actualizados, evitar el software pirateado y las descargas no oficiales (vectores comunes de distribución de infostealers), usar un gestor de contraseñas en lugar de las contraseñas guardadas en el navegador, y habilitar la autenticación multifactor siempre que se ofrezca. Nada de esto es una solución mágica contra el robo de tokens de sesión, pero aumenta significativamente el costo y la dificultad para los atacantes.

Medidas prácticas

  • Evita descargar software pirateado, juegos agrietados o extensiones de navegador no oficiales, todos ellos métodos comunes de distribución de infostealers.
  • Utiliza un gestor de contraseñas dedicado en lugar de guardar las credenciales en el navegador, ya que los datos almacenados en el navegador son uno de los principales objetivos de los infostealers.
  • Habilita la autenticación multifactor en todas las cuentas que lo permitan y considera opciones resistentes al phishing cuando estén disponibles.
  • Borra regularmente las sesiones almacenadas del navegador y cierra la sesión de cuentas sensibles en dispositivos compartidos o personales usados para el trabajo.
  • Si sospechas que un dispositivo puede estar infectado, cambia las contraseñas desde un dispositivo separado y de confianza y supervisa las cuentas en busca de actividad inusual.

El auge de los registros de infostealer como la herramienta de acceso inicial preferida por la industria del cibercrimen es un recordatorio de que la prevención de filtraciones comienza cada vez más lejos de la red corporativa, en los dispositivos cotidianos que las personas usan para iniciar sesión desde cualquier lugar.