Entre las familias más utilizadas, como AsyncRAT o Agent Tesla, el laboratorio de ESET ha identificado a SnakeStealer como el infostealer más detectado en lo que va del año, representando aproximadamente una quinta parte (1/5) de todas las detecciones a nivel mundial.
¿Qué es SnakeStealer y Por qué lidera?
SnakeStealer, que apareció por primera vez en 2019, es un código malicioso diseñado para robar datos sensibles, contraseñas, credenciales y capturar información de la víctima de forma silenciosa.
Su ascenso al primer puesto no fue por accidente. La investigadora de seguridad de ESET, Martina López, señala un factor clave: el declive de Agent Tesla (otro infostealer popular). Los propios operadores de Agent Tesla recomendaron a SnakeStealer como reemplazo en los canales clandestinos, lo que explica su rápido y masivo crecimiento en las detecciones.
El Modelo de Negocio del Robo: MaaS
Un factor crucial en la popularidad y proliferación de SnakeStealer es su modelo de negocio: Malware-as-a-Service (MaaS).
- ¿En qué consiste? Los desarrolladores especializados venden o alquilan el acceso a este malware listo para usar, de forma similar a una licencia de software comercial, pero en el mercado negro.
- El Impacto: El modelo MaaS facilita que atacantes con pocos conocimientos técnicos puedan lanzar campañas maliciosas a gran escala, aprovechando la infraestructura ya creada por otros.
Mecanismos de ataque y capacidades
Aunque el primer contacto sigue siendo, en la mayoría de los casos, a través de un archivo adjunto en un correo de phishing, la forma de ejecución ha evolucionado: desde archivos comprimidos con contraseña hasta archivos menos comunes (como RTF o ISO).
Entre sus capacidades más peligrosas, ESET destaca:
- Evasión Avanzada: Tiene la capacidad de detectar y “matar” procesos asociados a software de seguridad o análisis de malware, e incluso verifica el hardware para evitar máquinas virtuales.
- Persistencia: Modifica los registros de arranque de Windows para asegurar que el malware se mantenga activo tras reiniciar el equipo.
- Robo de Todo: Sustrae credenciales almacenadas en navegadores, clientes de correo/chat (como Discord) y de redes WiFi.
- Espionaje Activo: Realiza captura del portapapeles, keylogging (registro de pulsaciones del teclado) y toma capturas de pantalla.
Una vez robada la información, SnakeStealer utiliza varios métodos de exfiltración, incluyendo la carga a un servidor FTP, la publicación a un canal de Telegram o el envío de los datos en un adjunto de correo electrónico.
