admin
Más de un tercio de las infecciones por infostealers (un tipo de malware creado para robar contraseñas, cookies, datos bancarios y otra información sensible) empieza cuando los usuarios ejecutan archivos directamente desde carpetas temporales de descarga.
El comportamiento de los usuarios
El hallazgo revela que el comportamiento de los usuarios continúa siendo uno de los principales factores detrás del robo de credenciales. Los investigadores examinaron cinco millones de registros de infostealers encontrados en la dark web durante el pasado año.
Estos registros contenían información robada de dispositivos comprometidos, entre los que se encontraba credenciales de acceso, cookies de navegación y datos del sistema. El rastreo también ha permitido identificar las ubicaciones originales desde las que se ejecutaron los archivos maliciosos en los equipos infectados.
La ubicación más frecuente fue el directorio temporal de Windows C:UsersAppDataLocalTemp, responsable de aproximadamente el 35% de los casos analizados. Esta carpeta suele emplearse para almacenar archivos descargados de internet antes de que el usuario los guarde de manera definitiva. Según Kaspersky, estos datos sugieren que una parte significativa de las infecciones se produce cuando los usuarios ejecutan directamente archivos recién descargados, sin que los atacantes precisen recurrir a técnicas avanzadas de evasión.
La segunda ubicación más común, presente en alrededor del 32% de los casos, fue C:WindowsMicrosoft.NETFramework. Esta ruta suele estar asociada a técnicas más sofisticadas, como la inyección de procesos y el denominado living off the land, mediante las cuales el malware aprovecha procesos legítimos del sistema para ocultar su actividad y evitar su detección. Este comportamiento es habitual en familias avanzadas de infostealers como Lumma.
Apariencia de instaladores legítimos
Los analistas subrayan que muchas infecciones están relacionadas con dos comportamientos de riesgo: la descarga de software desde fuentes no fiables y el intento de activar programas de forma ilegal. En numerosos casos, las víctimas siguen instrucciones suministradas por los atacantes y llegan incluso a desactivar temporalmente sus soluciones de seguridad antes de ejecutar el archivo malicioso.
El análisis muestra además que muchos de estos archivos se presentan como instaladores legítimos, activadores de software o modificaciones para videojuegos. Aunque los mods siguen siendo uno de los principales señuelos usados por los atacantes, las mismas técnicas se emplean en la actualidad para distribuir prácticamente cualquier tipo de software.
Además de los patrones de comportamiento observados, se identificaron características diferenciadoras entre distintas familias de infostealers. Lumma suele utilizar nombres genéricos de instaladores y técnicas de ofuscación basadas en .NET. Vidar aparece habitualmente como variantes de Bootstrapper.exe, mientras que Stealc combina nombres descriptivos como Licence_Version_Loader.exe con nombres generados aleatoriamente. RisePro, por su parte, destaca por emplear convenciones recurrentes como MPGPH.exe o MSIUpdater.exe.
Consejos para reducir el riesgo asociado a los infostealers
Los analistas de Kaspersky recomiendan a las organizaciones:
- Adoptar servicios de protección frente al riesgo digital capaces de monitorizar los activos de la organización y detectar amenazas en la superficie de internet, la deep web y la dark web.
- Proporcionar a los equipos de ciberseguridad una visibilidad profunda sobre las amenazas dirigidas a la organización.
Y los usuarios:
- Descargar software únicamente desde fuentes oficiales y de confianza, evitando programas pirateados, cracks, activadores e instaladores no oficiales.
- Utilizar una solución de seguridad robusta en ordenadores y dispositivos móviles.
- Gestionar las contraseñas y datos sensibles de forma segura. Evitar almacenar credenciales o frases de recuperación en notas o galerías de imágenes y utilizar gestores de contraseñas específicos.
- No desactivar nunca el antivirus ni las herramientas de seguridad para instalar software y extremar la precaución al descargar mods, trucos o utilidades de terceros para videojuegos.
- Mantener actualizados el sistema operativo y las aplicaciones, utilizar contraseñas únicas y robustas y activar la autenticación multifactor siempre que sea posible.
