Infostealer

La ejecución es corta, a menudo de segundos. El payload lee los almacenes de credenciales y las bases de cookies del navegador, la configuración de aplicaciones que guarda tokens, los datos de mensajería y de monederos de criptomonedas, y los ficheros que encajan con patrones de interés; después empaqueta el resultado y sale sin instalar nada. La ausencia de persistencia es deliberada: no queda nada que encontrar luego.

Lo que produce es un log, que se vende al por mayor en mercados criminales o se distribuye por canales, con las credenciales, las cookies, el nombre de la máquina y muchas veces la lista del software instalado. Los compradores buscan en esos logs un dominio corporativo, y así es como el dispositivo personal de un empleado se convierte en la puerta de entrada a una empresa que nunca tuvo un incidente propio.

La cookie de sesión es la parte que derrota el control que todo el mundo desplegó. Un token de sesión válido es una credencial que ya ha pasado la autenticación, así que reproducirlo en el navegador del atacante se salta por completo la autenticación multifactor: no hay ningún inicio de sesión al que plantear un desafío. El resultado es el mismo que el del secuestro de sesión, pero llegando por malware en lugar de por un proxy.

El segundo problema es dónde vive la infección. La máquina infectada suele estar sin gestionar: un portátil personal usado con una cuenta de trabajo, el dispositivo de un colaborador externo, un ordenador familiar en el que alguien inició sesión una vez en un servicio corporativo. No hay agente de endpoint, no hay telemetría y no hay nada que alerte, y la primera evidencia que tendrá la empresa será que el log aparezca a la venta.

Tercero, la respuesta suele quedarse a medias. Restablecer la contraseña no le hace nada a una sesión robada. Erradicar significa revocar sesiones y tokens, no solo credenciales, y ese es un paso que la mayoría de los procedimientos de restablecimiento de contraseña sigue omitiendo.

Esto es trabajo de inteligencia más que de pruebas. Se vigilan los logs buscando los dominios del cliente, y lo que vuelve es concreto: las cuentas, las aplicaciones, si el token sigue siendo válido y qué antigüedad tiene la exposición. Es uno de los pocos hallazgos sobre los que un cliente puede actuar el mismo día, y es la materia prima con la que trabaja un broker de acceso inicial. La recomendación es siempre la misma pareja: revocar sesiones además de contraseñas, y considerar dentro del alcance los dispositivos sin gestionar que sostienen sesiones corporativas. Esto forma parte de cómo vigilamos si tus credenciales aparecen en mercados criminales.