Qué es un infostealer: qué roba, cómo infecta y cómo detectarlo en tu empresa

¿Qué es un infostealer y cómo funciona?

Un infostealer (de information stealer, ladrón de información) es un malware que copia credenciales y otros datos valiosos del equipo infectado y los envía al atacante. Muchos se venden o se alquilan como servicio (malware as a service) a afiliados que lanzan sus propias campañas: es el modelo que Microsoft describe en Lumma.

1. Infección: la víctima ejecuta algo, casi siempre engañada.
2. Recolección: en segundos lee los almacenes de contraseñas y cookies del navegador, las carteras de criptomonedas y datos de otras aplicaciones.
3. Envío: lo empaqueta y lo manda a su servidor de mando y control (C2). Según CISA, LummaC2 se ejecuta en memoria y, si su servidor no le ordena nada más, no crea ficheros en el disco.
4. Venta: el paquete de cada equipo, el log, se vende en mercados de la dark web y canales de Telegram.
5. Uso: el comprador entra en las cuentas, revende el acceso o lo usa para fraude, extorsión o ransomware.

¿Qué roba un infostealer?

Para una empresa, lo más peligroso es la cookie de sesión. MITRE recoge que permite saltarse algunos mecanismos de autenticación multifactor, porque la sesión se inició con el MFA ya superado. Hasta que caduca o se revoca, el atacante entra como si fuera el usuario.

¿Cómo infecta un infostealer?

• Falsos CAPTCHA o ClickFix: una web pide pulsar Win+R (o abrir Terminal en un Mac), pegar un texto y pulsar Intro. Ese texto es un comando, a menudo PowerShell codificado. MITRE creó en 2025 una subtécnica para este engaño: T1204.004, Malicious Copy and Paste.
• Anuncios maliciosos en buscadores que llevan a una copia de la web oficial de un programa con el instalador infectado.
• Software pirata, cracks, trucos para videojuegos y falsos instaladores de herramientas de IA.
• Phishing con facturas, reservas o envíos falsos.
• Webs legítimas comprometidas y otro malware: Microsoft ha visto al cargador DanaBot instalar Lumma.

El punto ciego de muchas empresas es el equipo personal. El informe DBIR 2025 de Verizon estimó que el 46 % de los equipos infectados por infostealers que tenían credenciales corporativas no estaban gestionados por la empresa: ordenadores desde los que alguien abre el correo o la VPN, fuera del alcance del EDR.

¿Qué familias de infostealers son las más conocidas?

¿Por qué un infostealer es la puerta de entrada de tantos ataques?

Porque entrega un acceso válido. Según el informe M-Trends 2025 de Mandiant (Google), en 2024 las credenciales robadas fueron por primera vez el segundo vector de acceso inicial más frecuente en sus investigaciones (16 %), por detrás de la explotación de vulnerabilidades (33 %), y Mandiant lo atribuye al auge de los infostealers. En la edición de 2026, con datos de 2025, Mandiant señala además que los atacantes recogen tokens OAuth y cookies de sesión de larga duración para saltarse las defensas en cloud. Sophos describe la cadena habitual: el infostealer roba, un intermediario de accesos iniciales valida y revende, y un afiliado de ransomware o un grupo de fraude por correo corporativo (BEC) lo explota.

Y el robo puede explotarse años después: en la campaña de 2024 contra clientes de Snowflake, Mandiant comprobó que al menos el 79,7 % de las cuentas usadas tenían credenciales expuestas antes, sobre todo por infostealers como Vidar, RedLine o Lumma, algunas desde 2020. Las cuentas afectadas no tenían MFA.

¿Cómo saber si un equipo tiene un infostealer?

El EDR solo ve los equipos donde está instalado, así que la vigilancia de la identidad y de fuentes externas pesa tanto como la del endpoint.

¿Cómo proteger tu empresa de los infostealers?

• Usa un gestor de contraseñas corporativo en lugar del navegador.
• Exige dispositivo gestionado para acceder a las aplicaciones corporativas: una credencial robada en un ordenador personal pierde casi todo su valor.
• Usa MFA resistente al phishing (FIDO2 o passkeys) y protege la sesión: duraciones cortas, revocación rápida y vinculación al dispositivo. Desde finales de mayo de 2026, Google activa por defecto en Chrome para Windows las Device Bound Session Credentials (DBSC), que atan la cookie de sesión de las cuentas de Google al equipo donde se inició.
• Mantén el EDR en modo bloqueo y con protección contra manipulación, como recomienda Microsoft frente a Lumma.
• Aplica control de aplicaciones con listas de permitidas, que es lo que aconseja CISA frente a LummaC2, y limita PowerShell, el cuadro Ejecutar y la instalación de software a quien los necesite.
• Forma a la plantilla con un mensaje concreto: ninguna web legítima te pide pegar un comando en tu equipo.
• Vigila de forma continua si aparecen credenciales de tu dominio en logs de infostealers.

¿Qué hacer si detectas un infostealer en un equipo?

1. Aísla el equipo de la red y conserva evidencias (alertas, fichero o comando ejecutado, hora aproximada) antes de reinstalar.
2. Desde un equipo limpio, cambia todas las contraseñas guardadas en ese navegador, empezando por correo, VPN y cuentas de administración.
3. Revoca las sesiones abiertas en tu proveedor de identidad y en las aplicaciones SaaS: cambiar la contraseña no siempre invalida las cookies robadas.
4. Revisa lo ocurrido desde la fecha de infección: inicios de sesión, métodos de MFA añadidos, reglas de buzón y aplicaciones OAuth nuevas.
5. Reinstala el equipo desde una imagen limpia. Si necesitas orientación, INCIBE atiende gratis en el 017; si el incidente sigue en curso, pide ayuda profesional.

Cómo te ayuda Ciberia

Ciberia Intel reúne inteligencia propia y de terceros sobre credenciales e infostealers, dark web y foros, y Ciberia CTM vigila de forma continua las credenciales filtradas de tu organización, con alertas que llegan con contexto y acción recomendada. Si la infección ocurre dentro de tu red, Ciberia MDR vigila a cualquier hora la telemetría que ya tienes, con un SLA contractual de 15 minutos desde la alerta crítica hasta la contención inicial.