En inglés, el término infostealer se utiliza para agrupar diferentes tipos de malware que tienen la capacidad de robar información. Suelen buscar datos de tarjetas de crédito y credenciales de todo tipo de cuentas: desde redes sociales, correo electrónico y aplicaciones en general, hasta plataformas de streaming.
Si bien existen muchos tipos de malware que pueden robar información, el término robo de información a menudo se refiere a un grupo particular de familias de malware, como Redline, Racoon, Vidar, Lumma, Meta, por nombrar algunos.
Lo que varias de estas familias tienen en común es que se centran en el robo de contraseñas y otro tipo de datos almacenados en una computadora para obtener beneficios económicos. También es común que se ofrezcan como servicio a través de programas afiliados conocidos como malware as a service (MaaS), es decir, a grandes rasgos, los ciberdelincuentes ofrecen acceso a malware a terceros y les brindan soporte a cambio de una suscripción.
Pero más allá de este grupo de familias de malware, existen otro tipo de programas maliciosos con capacidad de robar información que también podemos incluir en la categoría de robo de información. Sobre todo, porque comparten algo fundamental: suelen utilizarse en campañas que tienen como objetivo robar información para obtener beneficios económicos.
Nota: Algunas de las categorías de malware que se detallan a continuación describen funcionalidades o capacidades típicas de cada tipo de malware, pero es importante tener en cuenta que algunos programas maliciosos combinan muchas de estas capacidades. Por tanto, es habitual encontrar troyanos de acceso remoto con capacidades de keyloggers o troyanos bancarios que comparten las mismas capacidades que los troyanos de robo de información.
A continuación, analizamos cinco tipos de malware para el robo de información que son los más activos actualmente.
1. Web Skimmers (también conocido como MageCart)
Cuando hablamos de web skimmers o MageCart nos referimos a un tipo de código malicioso que busca robar información de quienes visitan o interactúan con sitios previamente comprometidos, generalmente inyectando código en estos sitios.
Los skimmers web suelen buscar datos de tarjetas de crédito o débito. Generalmente atacan sitios que tienen un carrito de compras (ecommerce) creado en WordPress o Magento. Las vulnerabilidades que permiten la inyección de estos códigos pueden estar en las propias plataformas o en complementos que ofrecen funcionalidades adicionales, pero tienen fallas que los ciberdelincuentes aprovechan para manipular estos sitios y agregar sus fragmentos de código malicioso.
Un ejemplo de este malware es JS/Spy.Banker. Si bien se trata de una detección genérica que corresponde a un fragmento de código escrito en JavaScrip que busca robar datos bancarios, en varios casos la detección corresponde a Web Skimmers. Ha estado entre las principales detecciones de malware de robo de información en América Latina y también a nivel mundial, con decenas de miles de detecciones. Desde 2021, la detección de JS/Spy.Banker ha crecido un 343%.
Ejemplos de personas que han informado sobre sitios que se han visto comprometidos con este código malicioso:
2. Troyanos para robo de información (Redline, Racoon o Vidar)
Cuando se habla de ladrones de información, se suele hacer referencia a un tipo de troyanos con características similares que los diferencian de otro tipo de malware. Hablamos de programas maliciosos cuyo principal objetivo es el robo de información almacenada en el navegador, como contraseñas, nombres de usuario, credenciales de acceso a billeteras de criptomonedas, cuentas de correo electrónico, redes sociales o cualquier otra aplicación del ordenador. Generalmente, ejemplos de estos troyanos son RedLine, Racoon, Vidar, Azorult, Meta o Lumma Stealer entre muchos otros.
Si bien muchos de estos ladrones de información tienen capacidades para realizar otras acciones maliciosas, generalmente se ven en campañas masivas que se distribuyen a través de cracks de software desde enlaces de descarga en YouTube, películas pirateadas, así como a través de anuncios falsos en Google y Facebook. , correos electrónicos de phishing, sitios falsos, entre otros.
Estos troyanos han experimentado un crecimiento en actividad en los últimos años y son responsables de muchas filtraciones de organizaciones públicas y privadas que se han puesto a la venta en foros.
Esto se debe en gran medida a que este tipo de ladrones de información son cada vez más accesibles, ya que se ofrecen a la venta o bajo suscripción y a bajo coste en foros clandestinos o en grupos de Telegram. Esto permite que muchas personas tengan acceso a malware y a toda una infraestructura que facilita el acceso al negocio del cibercrimen, incluso sin tener muchos conocimientos técnicos.
3. Troyanos de acceso remoto (Agent Tesla, Formbook, HoudRat)
La lista de troyanos de acceso remoto, conocidos en inglés con las siglas RAT, es larga. Los troyanos de acceso remoto son un tipo de malware que tiene la capacidad de ser controlado por el atacante de forma remota y realizar todo tipo de acciones en el ordenador de la víctima.
Este tipo de malware se utiliza para robar información sensible y puede obtener información a través de diferentes medios. Por ejemplo, pueden extraer credenciales de diferente software, obtener cookies de los navegadores, registrar las pulsaciones de teclas o tomar capturas de pantalla del ordenador de la víctima.
El más activo actualmente es Agent Tesla, pero hay otros con gran actividad, como Formbook, HoudRat, AsyncRAT, njRAT, Remcos, etc. La forma de distribución es muy variada, hemos visto desde sitios falsos, correos con malware archivos adjuntos,
Lectura recomendada: La aplicación falsa de criptomonedas Safemoon descarga RAT que espía y roba información
4. Registradores de teclas
Cuando hablamos de keyloggers nos referimos a software con muchas funcionalidades para obtener información de un ordenador infectado. Por ejemplo, es capaz de grabar y guardar las teclas pulsadas por la persona que se encuentra detrás del dispositivo de la víctima, así como realizar capturas de pantalla. Si bien los keyloggers se utilizan para espiar, también se utilizan en campañas para robar credenciales y otro tipo de información.
Si bien muchos de los malware mencionados incluyen funcionalidad de keylogger como parte de un arsenal de recursos y herramientas para robar información, muchas de las detecciones de malware en Latinoamérica durante 2023 corresponden a keyloggers que se ofrecen gratuitamente en la web como programas aislados.
5. Troyanos bancarios
El último de los cinco tipos de malware de robo de información que mencionamos en este artículo son los troyanos bancarios. Se caracterizan por tener un objetivo principal que es robar credenciales de sitios de banca online y en algunos casos también de billeteras virtuales y criptomonedas.
Los troyanos bancarios existen desde hace más de veinte años. Este tipo de malware se dirige tanto a ordenadores como a teléfonos inteligentes. Algunos de los más populares a lo largo de los años han sido Zeus, Hydra o Dridex.
Los troyanos bancarios han conseguido infectar a sus víctimas desde Google Play, pero también se distribuyen a través de aplicaciones falsas de otros servicios, así como de sitios falsos, complementos o extensiones maliciosas o correos electrónicos con enlaces o archivos adjuntos maliciosos.
También existe una serie de doce familias de troyanos bancarios procedentes de Latinoamérica, entre las que se encuentran Mekotio, Casbaneiro o Grandoreiro. Este tipo de troyanos han estado muy activos en la región y se han distribuido a través de correos electrónicos con archivos adjuntos maliciosos. La forma de robar credenciales era a través de ventanas emergentes que hacían creer a las víctimas que estaban ingresando a su cuenta bancaria a través del sitio web oficial.
Conclusión
Existen diferentes tipos de malware que buscan robar información. Algunos a credenciales bancarias, otros a credenciales de todo tipo de cuentas o datos sensibles. Los ladrones de información como Redline, Racoon o Vidar están muy activos hoy en día. Entre otras cosas, como consecuencia de un mercado de compra y venta de la información que roban que hace que el negocio sea rentable y de fácil acceso, incluso para personas sin conocimientos técnicos avanzados.
Para estar protegido es necesario estar informado, tener buenos hábitos de seguridad en Internet y estar protegido con un software antivirus de buena reputación que sea capaz de detectar y bloquear a tiempo cualquier tipo de programa malicioso que intente acceder a nuestros dispositivos.
