Infostealers

¿Qué son los infostealers?

Los infostealers (también llamados information stealers o stealers) son una categoría de malware diseñada específicamente para extraer información sensible de los equipos infectados de forma automatizada y rápida. A diferencia de otros tipos de malware que pueden permanecer latentes durante meses (como los APT) o cifrar archivos para pedir rescate (ransomware), los infostealers operan en un modelo de “smash and grab”: infectan el equipo, roban toda la información valiosa en cuestión de segundos o minutos, y la envían a los atacantes.

El resultado de cada infección — denominado “log” — es un paquete comprimido que contiene todas las credenciales, cookies, tokens, capturas de pantalla y archivos robados del equipo infectado. Estos logs se venden al por mayor en mercados de la dark web y canales de Telegram, formando la base de una economía criminal multimillonaria.

Principales familias de infostealers

RedLine Stealer

Capacidades de robo:

• Contraseñas almacenadas en Chrome, Firefox, Edge, Opera, Brave y otros navegadores basados en Chromium
• Cookies de sesión (permite secuestro de cuentas sin necesidad de contraseña)
• Datos de autocompletado (nombres, direcciones, teléfonos, tarjetas de crédito)
• Billeteras de criptomonedas (MetaMask, Exodus, Electrum, Atomic Wallet y más de 30 wallets)
• Clientes VPN (NordVPN, ProtonVPN, OpenVPN)
• Clientes FTP (FileZilla)
• Tokens de Discord
• Datos del sistema (hardware, software instalado, IP, geolocalización)
• Capturas de pantalla
• Archivos específicos por extensión (.txt, .doc, .pdf, .key)

Caso Operación Magnus (octubre 2024):

En octubre de 2024, una operación conjunta del FBI, la Policía Nacional de los Países Bajos y Eurojust desmanteló parcialmente la infraestructura de RedLine Stealer y META Stealer. Se incautaron servidores, dominios y código fuente. Sin embargo, como el código fuente había sido filtrado previamente, variantes de RedLine siguen activas en 2025-2026.

LummaC2 (Lumma Stealer)

Características distintivas de LummaC2:

• Panel de control web sofisticado para los operadores
• Soporte para exfiltración de datos a Telegram, Discord y servidores C2 propios
• Técnicas avanzadas de evasión: anti-VM, anti-sandbox, anti-debugging
• Capacidad de robar cookies de sesión de Google (incluso después del cierre de sesión)
• Actualización constante para evadir firmas de antivirus (media de 2 actualizaciones/semana)
• Módulo de loader: puede descargar y ejecutar malware adicional (ransomware, RATs)

Raccoon Stealer

Historia relevante:

En octubre de 2022, el Departamento de Justicia de EE.UU. acusó al ciudadano ucraniano Mark Sokolovsky por operar Raccoon Stealer. Fue detenido en los Países Bajos y extraditado a EE.UU. Sin embargo, otros miembros del equipo lanzaron Raccoon Stealer v2 con una nueva infraestructura, demostrando la resiliencia del ecosistema criminal.

Vidar Stealer

Técnica distintiva: Vidar utiliza perfiles de redes sociales (Steam, Telegram) como “dead drops” para almacenar las direcciones de los servidores C2, dificultando su bloqueo por parte de los investigadores.

Stealc

Características destacadas:

• Diseño modular: el operador configura exactamente qué datos robar
• Footprint mínimo: el binario pesa menos de 80KB
• Descarga DLLs legítimas de Windows para funciones de descifrado
• Evasión de AMSI (Anti-Malware Scan Interface)

Meta Stealer (MetaStealer)

Comparativa de familias

Funcionamiento técnico de los infostealers

Ciclo de vida de una infección

┌──────────────┐     ┌──────────────┐     ┌──────────────┐
│ 1. DISTRIBUCIÓN│───→│ 2. INFECCIÓN  │───→│ 3. RECOLECCIÓN│
│              │     │              │     │              │
│ - Phishing   │     │ - Ejecución  │     │ - Navegadores│
│ - Malvertising│     │ - Persistencia│     │ - Wallets    │
│ - Fake SW    │     │ - Evasión AV │     │ - Cookies    │
│ - Cracks     │     │ - Inyección  │     │ - Tokens     │
└──────────────┘     └──────────────┘     └──────────────┘
                                                │
                                                ▼
┌──────────────┐     ┌──────────────┐     ┌──────────────┐
│ 6. MONETIZACIÓN│←───│ 5. VENTA      │←───│ 4. EXFILTRACIÓN│
│              │     │              │     │              │
│ - Fraude     │     │ - Dark web   │     │ - Compress   │
│ - Extorsión  │     │ - Telegram   │     │ - Encrypt    │
│ - Ransomware │     │ - Foros      │     │ - C2 / TG    │
│ - Acceso     │     │ - Brokers    │     │ - HTTP POST  │
└──────────────┘     └──────────────┘     └──────────────┘

Fase 1: Distribución

Los infostealers utilizan múltiples vectores de distribución:

Software falso y cracks

El vector más efectivo para infostealers es la distribución a través de software pirata, cracks, keygens y activadores falsos. Los atacantes posicionan sus descargas maliciosas en:

Malvertising

Los atacantes compran anuncios en Google Ads, Bing Ads y redes publicitarias para posicionar páginas maliciosas que imitan descargas legítimas:

Búsqueda Google: "descargar OBS Studio"

Resultado patrocinado (malicioso):
  obs-studio-download.com  ← Dominio falso con infostealer
  "Descarga OBS Studio gratis - Versión oficial 2026"

Resultado orgánico (legítimo):
  obsproject.com
  "OBS Studio - Free and open source software for video recording"

Phishing y spear phishing

Los infostealers también se distribuyen mediante campañas de phishing:

• Emails con adjuntos maliciosos: Archivos .exe, .scr, .msi, .iso, .vhd, .js, .vbs disfrazados de facturas, albaranes o documentos
• Macros de Office: Documentos Word/Excel con macros que descargan el stealer
• HTML smuggling: Archivos HTML adjuntos que generan el ejecutable malicioso en el navegador
• Enlaces a descargas: URLs que redirigen a la descarga del malware

Otros vectores

Fase 2: Infección y ejecución

Una vez descargado y ejecutado, el infostealer realiza una serie de acciones rápidas:

Fase 3: Robo de credenciales del navegador — Detalle técnico

Almacenamiento de contraseñas en Chromium

Los navegadores basados en Chromium almacenan las contraseñas en una base de datos SQLite llamada Login Data:

Ruta en Windows:
  %LOCALAPPDATA%\Google\Chrome\Default\Login Data
  %LOCALAPPDATA%\Microsoft\Edge\Default\Login Data
  %LOCALAPPDATA%\BraveSoftware\Brave-Browser\Default\Login Data

Estructura de la tabla 'logins':
  origin_url       — URL del sitio web
  action_url       — URL del formulario de login
  username_value   — Nombre de usuario (texto plano)
  password_value   — Contraseña cifrada con DPAPI
  date_created     — Timestamp de creación
  date_last_used   — Timestamp de último uso
  times_used       — Número de veces utilizada

Proceso de descifrado

1. El infostealer copia Login Data a una ubicación temporal
   (para evitar el bloqueo por parte del navegador)

2. Abre la base de datos SQLite y extrae password_value

3. Si password_value comienza con 'v10' o 'v11':
   → Descifrado AES-GCM con clave almacenada en Local State
   → La clave en Local State está cifrada con DPAPI

4. Llama a CryptUnprotectData() (Windows DPAPI) para obtener
   la clave maestra AES

5. Usa la clave AES para descifrar cada contraseña

6. Resultado: todas las contraseñas en texto plano

Robo de cookies

Las cookies se almacenan de forma similar en una base de datos SQLite:

Ruta: %LOCALAPPDATA%\Google\Chrome\Default\Network\Cookies

Tabla 'cookies':
  host_key         — Dominio (.google.com, .facebook.com)
  name             — Nombre de la cookie
  encrypted_value  — Valor cifrado con DPAPI/AES
  path             — Ruta
  expires_utc      — Fecha de expiración
  is_secure        — Flag de seguridad
  is_httponly       — Flag HttpOnly
  samesite         — Política SameSite

Impacto del robo de cookies:

Fase 4: Exfiltración de datos

Los datos robados se exfiltran mediante varios métodos:

Estructura de un “log” de infostealer

El producto final de una infección de infostealer es un “log” — un paquete comprimido con toda la información robada:

[LOG] - RedLine_2026-03-15_ES_Chrome
│
├── System Info.txt
│   ├── OS: Windows 11 Pro 23H2
│   ├── CPU: Intel Core i7-12700K
│   ├── RAM: 32GB
│   ├── IP: 85.xx.xx.xx (Madrid, ES)
│   ├── User: JuanGarcia
│   └── Installed Software: [lista]
│
├── Browsers/
│   ├── Chrome/
│   │   ├── Passwords.txt (245 credenciales)
│   │   ├── Cookies.txt (1,832 cookies)
│   │   ├── Autofill.txt (datos personales)
│   │   ├── Credit Cards.txt (3 tarjetas)
│   │   └── History.txt
│   ├── Firefox/
│   │   └── Passwords.txt (87 credenciales)
│   └── Edge/
│       └── Passwords.txt (12 credenciales)
│
├── Crypto Wallets/
│   ├── MetaMask/
│   │   └── vault.json (billetera cifrada)
│   └── Exodus/
│       └── seed.seco (semilla cifrada)
│
├── VPN/
│   ├── NordVPN/
│   │   └── user.config
│   └── ProtonVPN/
│       └── profiles.json
│
├── FTP/
│   └── FileZilla/
│       └── recentservers.xml
│
├── Discord/
│   └── tokens.txt
│
├── Telegram/
│   └── tdata/ (datos de sesión)
│
├── Files/
│   ├── Desktop_passwords.txt
│   └── budget_2026.xlsx
│
└── Screenshot.png (captura del escritorio)

El mercado de credenciales robadas

Ecosistema de venta de logs

Las credenciales robadas por infostealers alimentan un ecosistema criminal sofisticado:

┌─────────────────────────────────────────────────────┐
│              OPERADOR DEL STEALER                    │
│   (Compra licencia MaaS, distribuye malware)         │
│                      │                               │
│                      ▼                               │
│              LOGS RECOLECTADOS                        │
│   (Miles-millones de logs con credenciales)          │
│                      │                               │
│          ┌───────────┼───────────┐                   │
│          ▼           ▼           ▼                   │
│   ┌─────────┐ ┌──────────┐ ┌──────────┐            │
│   │Telegram │ │ Dark Web │ │ Initial  │            │
│   │ Canales │ │ Markets  │ │ Access   │            │
│   │ de logs │ │(Russian  │ │ Brokers  │            │
│   │         │ │ Market)  │ │          │            │
│   └────┬────┘ └────┬─────┘ └────┬─────┘            │
│        │           │            │                    │
│        ▼           ▼            ▼                    │
│   ┌─────────────────────────────────┐               │
│   │     COMPRADORES FINALES         │               │
│   │  - Estafadores (fraude bancario)│               │
│   │  - Grupos ransomware (acceso)   │               │
│   │  - Espías corporativos          │               │
│   │  - Ladrones de criptomonedas    │               │
│   └─────────────────────────────────┘               │
└─────────────────────────────────────────────────────┘

Telegram como marketplace

Telegram se ha convertido en la plataforma principal para la venta de credenciales robadas, sustituyendo progresivamente a los foros de la dark web:

Funcionamiento de los bots de Telegram:

Usuario envía al bot: /search bankia.es
Bot responde:
  📋 Resultados para bankia.es:
  [1] ES | Chrome | bankia.es | j.garcia@gmail.com | ****
      Fecha: 15/03/2026 | Cookies: ✅ | 2FA bypass: ✅
      Precio: 45€

  [2] ES | Firefox | bankia.es | maria.lopez@outlook.es | ****
      Fecha: 12/03/2026 | Cookies: ❌ | 2FA bypass: ❌
      Precio: 15€

  💳 Pago: Bitcoin, Monero, USDT (TRC20)

Mercados de la dark web

Precios de credenciales en el mercado negro

Análisis forense de infostealers

Metodología de investigación forense

Artefactos forenses específicos de infostealers

En el sistema de archivos

En la memoria RAM

En la red

Reglas YARA para detección

Las reglas YARA son fundamentales para la detección e identificación de familias de infostealers:

rule RedLine_Stealer_Strings {
    meta:
        description = "Detección de RedLine Stealer por strings"
        author = "Ejemplo ilustrativo"
        severity = "high"
    strings:
        $s1 = "CommandLineUpdate" ascii
        $s2 = "DownloadAndExecuteUpdate" ascii
        $s3 = "\\Login Data" ascii
        $s4 = "\\Cookies" ascii
        $s5 = "\\Web Data" ascii
        $s6 = "wallet.dat" ascii
        $s7 = "\\Ethereum\\keystore" ascii
        $net = "System.Net.Sockets" ascii
    condition:
        uint16(0) == 0x5A4D and
        4 of ($s*) and $net
}

Herramientas forenses

Vectores de ataque avanzados

Campañas de malvertising sofisticadas

En 2025-2026, las campañas de malvertising para distribución de infostealers han alcanzado un nivel de sofisticación sin precedentes:

Abuso de servicios legítimos

Los infostealers modernos abusan de servicios legítimos para evadir detección:

Loader chains (cadenas de carga)

Los infostealers modernos rara vez se distribuyen directamente. En su lugar, utilizan cadenas de carga complejas:

Email phishing con adjunto .zip
  └── Archivo .iso o .vhd (evade Mark of the Web)
      └── Acceso directo .lnk
          └── Ejecuta PowerShell ofuscado
              └── Descarga loader desde GitHub/Discord
                  └── Loader descifra payload en memoria
                      └── Infostealer se ejecuta sin tocar disco
                          └── Exfiltración via Telegram Bot API

Marco legal en España

Delitos aplicables al uso y distribución de infostealers

Agravantes específicos

Jurisprudencia relevante

Denuncia y procedimiento

Estadísticas y tendencias (2024-2026)

Datos globales

Datos para España

Tendencias 2026

1. MaaS democratizado: Los infostealers son accesibles como servicio desde 125$/mes, permitiendo que atacantes sin conocimientos técnicos los desplieguen
2. Evasión continua: Las familias de stealers se actualizan cada 1-2 semanas para evadir firmas de antivirus
3. Convergencia con ransomware: Los accesos obtenidos por infostealers se venden a grupos de ransomware como vector de acceso inicial
4. macOS como objetivo creciente: Aumento significativo de stealers para macOS (Atomic, Banshee, MetaStealer)
5. Telegram como marketplace dominante: Migración desde foros de la dark web hacia canales de Telegram automatizados
6. Cookie theft > Password theft: Con la adopción de 2FA, el robo de cookies de sesión se ha vuelto más valioso que las contraseñas
7. IA en la distribución: Uso de IA generativa para crear páginas de phishing más convincentes y campañas de malvertising más sofisticadas

Prevención y protección

Para usuarios individuales

Para empresas

Nivel de endpoint:

• Desplegar EDR (CrowdStrike, SentinelOne, Microsoft Defender for Endpoint) con detección de comportamiento
• Implementar Application Whitelisting para impedir la ejecución de binarios no autorizados
• Deshabilitar el almacenamiento de contraseñas en el navegador mediante GPO
• Implementar LAPS (Local Administrator Password Solution) para evitar movimiento lateral
• Configurar Windows Credential Guard para proteger credenciales DPAPI

Nivel de red:

• Implementar proxy con inspección SSL y bloqueo de categorías maliciosas
• Monitorizar conexiones a dominios conocidos de C2 de infostealers (threat intelligence feeds)
• Implementar DNS sinkholing para dominios maliciosos conocidos
• Segmentar la red para limitar el impacto de una infección
• Monitorizar exfiltración de datos (volumen de upload anómalo)

Nivel de identidad:

• Implementar MFA resistente a phishing (FIDO2, hardware keys)
• Usar Conditional Access policies (Azure AD) para detectar sesiones robadas
• Monitorizar el uso de tokens de sesión desde IPs/dispositivos anómalos
• Implementar rotación automática de tokens de sesión
• Considerar soluciones de token binding

Nivel organizativo:

• Formación de concienciación sobre los riesgos de descargar software no autorizado
• Política de uso aceptable que prohíba el software pirata y las descargas no oficiales
• Proceso de respuesta a incidentes específico para infecciones por infostealer
• Suscripción a servicios de threat intelligence que monitoricen la dark web en busca de credenciales corporativas comprometidas (SpyCloud, Flare, Hudson Rock)

Para el sector legal y pericial

• Los bufetes de abogados deben implementar controles equivalentes a los corporativos, dado que manejan información de clientes protegida por el secreto profesional
• Los peritos informáticos deben mantener sus entornos de análisis aislados (VMs, laboratorio forense) y no usar los mismos equipos para trabajo personal y análisis de malware
• Las evidencias digitales de una infección por infostealer deben preservarse con cadena de custodia estricta, ya que pueden ser fundamentales en procedimientos judiciales, reclamaciones de seguros y notificaciones a la AEPD

Papel del perito informático forense

Escenarios de intervención

Informe pericial: elementos clave

Un informe pericial sobre una infección por infostealer debe incluir:

1. Identificación de la familia de malware: Nombre, variante, hash del binario, técnicas utilizadas
2. Vector de infección: Cómo llegó el malware al equipo (descarga, phishing, exploit)
3. Línea temporal completa: Desde la infección hasta la exfiltración, con timestamps precisos
4. Datos comprometidos: Lista exhaustiva de credenciales, cookies, archivos y datos robados
5. Infraestructura del atacante: Dominios C2, IPs, canales de Telegram utilizados
6. Evaluación de impacto: Qué servicios están comprometidos, qué datos personales se expusieron, riesgo residual
7. Recomendaciones de remediación: Cambio de contraseñas, revocación de sesiones, monitorización de cuentas
8. Conclusiones: Resumen técnico comprensible para un tribunal no técnico

Respuesta a incidentes: guía práctica

Acciones inmediatas tras detectar una infección

Glosario de términos relacionados

Casos prácticos de investigación forense

Caso 1: Fraude bancario tras infección por infostealer

Escenario: Un autónomo de Sevilla descubre transferencias fraudulentas por valor de 12.000€ desde su cuenta de banca online. El banco rechaza la reclamación alegando que las transferencias se autenticaron correctamente con las credenciales del cliente.

Investigación pericial:

Conclusión pericial: El informe demostró que las credenciales fueron robadas mediante malware sofisticado, no por negligencia del usuario. El banco reembolsó los 12.000€ tras recibir el informe pericial.

Caso 2: Robo de criptomonedas por LummaC2

Escenario: Un inversor de Madrid pierde 3,5 BTC (aproximadamente 280.000€) de su billetera MetaMask. Las criptomonedas fueron transferidas a múltiples wallets desconocidas en un período de 10 minutos.

Investigación:

• El análisis de memoria RAM reveló el proceso de LummaC2 con strings que contenían la dirección del C2
• El malware había extraído el archivo vault.json de MetaMask (que contiene la seed phrase cifrada)
• La seed phrase fue descifrada por el malware usando la contraseña almacenada en Chrome
• Las transacciones se realizaron desde una IP diferente usando la seed phrase robada

Rastreo blockchain: El perito rastreó los fondos a través de 7 wallets intermedias hasta un exchange centralizado, proporcionando información para una solicitud judicial de identificación del titular de la cuenta del exchange.

Caso 3: Brecha corporativa con impacto en clientes

Escenario: Una gestoría de Valencia sufre una infección por Stealc en 3 equipos. Los atacantes obtuvieron credenciales del software de gestión contable, accediendo a datos fiscales de más de 500 clientes.

Impacto:

Intervención pericial: El perito documentó el alcance exacto de la brecha para cumplir con las obligaciones de notificación a la AEPD dentro del plazo de 72 horas, identificó la familia de malware y el vector de infección (email de phishing con factura falsa), y emitió recomendaciones de remediación.

Comparativa: infostealers vs. otros tipos de malware

Indicadores de compromiso (IOC) de referencia

IOCs de red comunes en infostealers

IOCs de endpoint comunes

Referencias y fuentes

• INCIBE — Informes anuales de amenazas y alertas de seguridad (incibe.es)
• CCN-CERT — Informe de amenazas CCN-CERT IA-13/25 (ccn-cert.cni.es)
• Check Point Research — “Most Wanted Malware” reports (2024-2025)
• ESET Threat Report — Informes trimestrales de amenazas (2024-2025)
• Kaspersky SecureList — “The state of stalkerware and infostealers” (2024)
• Hudson Rock — Cavalier (herramienta de monitorización de credenciales comprometidas)
• SpyCloud — “Annual Identity Exposure Report” (2025)
• Mandiant (Google) — “M-Trends 2025: Special Report”
• Recorded Future — “2025 Threat Landscape: Infostealers Dominate”
• ANY.RUN — “Malware Trends Report 2025”
• Flashpoint — “Threat Intelligence Report: Underground Economy” (2025)
• IBM Security — “Cost of a Data Breach Report 2024”
• Departamento de Justicia de EE.UU. — Acusación contra Mark Sokolovsky (Raccoon Stealer), octubre 2022
• Europol / Eurojust — Operación Magnus contra RedLine y META Stealer, octubre 2024
• Código Penal español (LO 10/1995) — Artículos 197, 197 bis, 197 ter, 248, 264, 301, 570 bis

Conclusión

Los infostealers se han consolidado como la categoría de malware más extendida y con mayor impacto económico en 2025-2026. Su modelo de negocio Malware-as-a-Service (MaaS) ha democratizado el cibercrimen: cualquier persona sin conocimientos técnicos puede comprar una licencia de RedLine o LummaC2 por el precio de una suscripción a Netflix y comenzar a robar credenciales.

El ecosistema criminal es sofisticado y especializado: los operadores distribuyen el malware, los logs se venden al por mayor en Telegram y mercados de la dark web, y los compradores los utilizan para fraude bancario, robo de criptomonedas, extorsión y como vector de acceso inicial para ataques de ransomware.

En España, los infostealers representan la amenaza más detectada, con más de 2 millones de logs de usuarios españoles en circulación activa. La banca online, el correo electrónico y las redes sociales son los servicios más afectados.

La prevención más efectiva es no almacenar credenciales en el navegador (usar un gestor de contraseñas dedicado), no descargar software pirata, y usar MFA resistente a phishing (FIDO2/hardware keys). Para las empresas, la combinación de EDR, proxy con inspección SSL, y monitorización de la dark web es esencial.

Cuando la prevención falla, el perito informático forense desempeña un papel fundamental: desde la investigación técnica de la infección hasta la emisión de informes periciales que sirvan como prueba en procedimientos judiciales, reclamaciones bancarias y notificaciones a la AEPD.

Última actualización: 30 de marzo de 2026 Categoría: Malware Código: MAL-035