Un stealer, o infostealer, es malware diseñado para robar información. No necesita cifrar tus archivos ni dejar la PC inutilizable: puede llevarse datos de sesión y desaparecer mientras el equipo parece funcionar normalmente. Por eso, eliminar la detección es solo una parte de la respuesta.
Qué puede robar un stealer
- Credenciales: contraseñas y datos guardados en aplicaciones compatibles con la muestra.
- Cookies y tokens: información que identifica una sesión ya autenticada. Su robo puede permitir reutilizar ciertos accesos sin escribir otra vez la contraseña.
- Documentos y capturas: según permisos, configuración y objetivos del atacante.
- Wallets y datos financieros: algunas familias buscan archivos o extensiones asociados a criptomonedas.
No significa que cualquier stealer pueda extraer todo de cualquier navegador. Las protecciones del sistema, el estado de la sesión, la versión y los permisos cambian el alcance. Chrome incorporó App-Bound Encryption en Windows para dificultar este tipo de robo; no conviene desactivar esa protección para que una aplicación deje de mostrar un error.
Cómo llega al equipo y cómo obtiene acceso
Una cosa es la entrega y otra la ejecución. Un enlace puede llevar a un instalador falso, pero el daño comienza cuando se ejecuta el payload o se aprovecha una vulnerabilidad. También existen cadenas en las que un loader entrega el stealer después de una primera infección.
- Descargas suplantadas: cracks, mods, utilidades y supuestas aplicaciones de IA.
- Phishing y malvertising: correos o anuncios que imitan una marca conocida y te llevan a un archivo.
- ClickFix: una página dice que falta verificarte o reparar algo y te pide ejecutar instrucciones. Una web legítima no necesita que pegues comandos para demostrar que sos humano.
- Permisos concedidos por engaño: la contraseña del sistema o el acceso a datos se presentan como parte de una instalación normal.
Que el enlace esté alojado en una plataforma conocida no certifica su contenido. Comprobá quién publica la descarga y cómo llegaste hasta ella.
Por qué MFA no resuelve por sí sola el robo de sesión
MFA añade una barrera importante al inicio de sesión. Pero una cookie robada puede representar una sesión que ya superó esa barrera. El alcance depende del servicio, su vinculación al dispositivo y sus controles de riesgo. No es motivo para quitar MFA: es motivo para proteger también el equipo y revocar sesiones ante un incidente.
Cambiar una contraseña no garantiza que todos los servicios cierren todos los accesos. Revisá la opción de cerrar sesiones, dispositivos conectados, aplicaciones autorizadas y métodos de recuperación. Empezá por el correo principal, porque suele permitir recuperar las demás cuentas.
Familias documentadas y qué significa “persistente”
Lumma, Stealc y RedLine aparecen en fuentes sobre robo de datos en Windows; AMOS pertenece al contexto de macOS. El comportamiento cambia según la variante y la campaña.
Además, popularidad y persistencia técnica son cosas distintas. Una muestra puede intentar iniciarse de nuevo al entrar en Windows, mientras otra roba lo que encuentra y termina. No encontrar una entrada de inicio desconocida no descarta una exposición anterior. Las acciones de desmantelamiento de una infraestructura tampoco convierten automáticamente en confiables los archivos que se distribuían con ella.
Cómo detectar un stealer sin adivinar por los síntomas
- Revisá la alerta completa. Guardá nombre de detección, ruta, hora y acción aplicada. Distinguir un archivo bloqueado antes de abrirse de un proceso que se ejecutó cambia la investigación.
- Analizá el equipo. Usá una herramienta actualizada; nuestra ficha de Malwarebytes para Windows explica qué incluye el análisis gratuito y qué requiere protección de pago.
- Correlacioná con las cuentas. Buscá sesiones desconocidas, reglas de reenvío, cambios de recuperación o transacciones no reconocidas.
- No tomes un nombre de proceso como prueba. Los nombres pueden copiarse y los hashes cambian entre muestras. En una empresa, la telemetría de EDR y los registros aportan más contexto que una captura del Administrador de tareas.
Qué hacer si pudo haber robo de datos
Si hay indicios de actividad en curso, aislá el equipo y evitá seguir usándolo para entrar en cuentas sensibles. Desde otro dispositivo confiable, cambiá los accesos afectados, cerrá sesiones y revisá MFA y recuperación. Si es un equipo laboral, avisá al responsable antes de borrar evidencia o reinstalar.
Conservá el informe de limpieza y verificá que el problema no reaparezca. Cuando no sea posible establecer qué se ejecutó o recuperar confianza en el sistema, una reinstalación planificada puede ser parte de la respuesta. Debe acompañarse de recuperación de cuentas y de un backup revisado; no de volver a copiar el instalador sospechoso.
Si necesitás ayuda, contá el síntoma y adjuntá el informe revisado en ForoSpyware. Quitá datos personales; no compartas cookies, contraseñas, archivos de perfil ni un log completo sin revisar.
Malspam es correo masivo que distribuye archivos o enlaces maliciosos. Puede usar phishing para suplantar una marca; el malvertising aprovecha anuncios como vía de entrada. ClickFix es el engaño que te pide ejecutar una supuesta verificación o reparación: no pegues instrucciones de una web en Ejecutar, PowerShell o Terminal.
