Introducción
Los infostealers o ladrones de información son, en pocas palabras, malware especializado en desvalijarte la vida digital. No hacen ruido, no buscan llamar la atención y rara vez rompen algo… al menos al principio. Su trabajo es robar credenciales, cookies de sesión, tokens, datos bancarios y cualquier otro dato que permita suplantarte o abrir la puerta a sistemas y servicios.
La clave de su éxito es el silencio. Operan en segundo plano, recolectando información sin interrumpir nada. Cuando tienen el botín, lo envían a sus servidores, y de ahí a foros y mercados clandestinos, donde se convierte en mercancía de valor.
Pero lo peligroso no es solo el robo inicial. Un infostealer prepara el terreno para ataques mucho más grandes. Intrusiones corporativas, fraudes financieros, secuestro de cuentas críticas o accesos privilegiados que terminan vendidos al mejor postor en el mercado negro de accesos, alimentando a los Initial Access Brokers.
En este contexto, un token válido de Google, Microsoft 365 o una cookie de sesión corporativa puede ser más valioso que una tarjeta de crédito clonada. ¿La razón? Puede saltarse el MFA y dar acceso directo a una red interna… mientras tú sigues usando tus cuentas sin saber que ya están comprometidas.
Lo que les ha impulsado:
- Robo en automático: Sacan info de mil navegadores y apps en segundos.
- Fáciles de desplegar: Malspam, cracks falsos, stealer-as-a-service… no hay excusa.
- Paneles listos para usar: Todo mascadito para que hasta un novato gestione datos robados.
De Zeus a Lumma: evolución técnica
| Año | Malware | Técnicas | Objetivos |
|---|---|---|---|
| 2007 | Zeus | Inyección en navegador, C2 cifrado. | Robo de credenciales bancarias, manipulación del tráfico web para phishing y fraude financiero. |
| 2018 | Raccoon | Robo de cookies/autofill, modelo MaaS económico. | Obtención de credenciales desde formularios y cookies guardadas, distribución amplia por bajo coste. |
| 2019 | RedLine | Recolección de credenciales, wallets, panel web fácil. | Credenciales, datos de sistema, wallets, acceso para actores con bajo nivel técnico. |
| 2022 | Lumma | Ofuscación avanzada, evasión de detección, suscripción. | Evasión antiforense, binarios ofuscados, modelo premium con actualizaciones constantes. |
| 2023 | Aurora | Robo de tokens (Discord, Steam), cracks y instaladores falsos. | Robo de sesiones web y tokens, distribución en comunidades de cracks y software pirateado. |
RedLine al detalle
RedLine es un infostealer que, desde su aparición en 2020, se ha consolidado como uno de los actores más constantes y rentables dentro del cibercrimen. No es el más sofisticado, pero su popularidad radica en su accesibilidad y eficacia. Se comercializa como Malware-as-a-Service (MaaS), lo que permite que cualquier persona con pocos conocimientos técnicos y malas intenciones pueda usarlo.
Origen y auge
- Año de aparición: 2020
- Lenguaje: .NET / C#
- Distribución: campañas de phishing, cracks, actualizaciones fraudulentas y malvertising.
- Modelo de negocio: suscripción mensual que suele oscilar entre 100 y 150 USD, con versiones PRO o lifetime que superan los 200 USD e incluso los 800 USD en foros underground.
- Motivo de su éxito: curva de aprendizaje baja, panel de control intuitivo y actualizaciones frecuentes por parte de sus desarrolladores.
Capacidades principales
RedLine está diseñado para extraer la mayor cantidad de información en el menor tiempo posible:
- Credenciales: navegadores web, clientes FTP/VPN y aplicaciones de mensajería.
- Cookies y sesiones: útiles para evadir MFA y acceder directamente a cuentas.
- Carteras de criptomonedas: información de extensiones y aplicaciones de wallets.
- Información del sistema: IP pública, hardware, sistema operativo y software instalado.
- Archivos específicos: configuraciones, documentos y bases de datos locales.
- Extras detectados: capturas de pantalla y datos de apps como Discord, Steam o Telegram.
Flujo típico de ataque
- Infección inicial – archivo malicioso vía correo, descarga de software pirata o anuncio manipulado.
- Ejecución y persistencia – se ejecuta en segundo plano y si puede, establece mecanismos para seguir activo tras reinicios.
- Recolección de datos – escanea rutas y procesos predefinidos para capturar información sensible.
- Exfiltración – envía los datos al panel de control del atacante mediante HTTP/HTTPS cifrado.
- Monetización – venta de datos en foros clandestinos, canales de Telegram o mercados de accesos.
Sectores más afectados
- Usuarios domésticos: especialmente por robo de cuentas bancarias y redes sociales.
- E-commerce y freelancers: con manejo de datos sensibles y menor protección.
- Empresas medianas: sin EDR avanzado ni segmentación de red.
Resumen
RedLine es como un ladrón que no busca un gran golpe, sino recorrer puerta por puerta acumulando datos sin levantar sospechas. Su amenaza real es que democratiza el cibercrimen, poniendo en manos de atacantes con pocos recursos una herramienta lista para robar credenciales, sesiones y otros datos críticos a gran escala.
Conclusión
- Los infostealers han evolucionado de scripts cutres a auténticas plataformas de robo y reventa de identidades digitales.
- Son peligrosos porque roban sin ruido y eso les da tiempo para que el daño se multiplique.
- Mientras haya credenciales que vender, ellos seguirán afinando sus técnicas.
La defensa no es magia: mezcla de prevención, formación del usuario y reacción rápida.
Referencias: