Respuesta Rápida
El principal hallazgo es que SnakeStealer es el Infostealer más detectado en 2025, responsable del 20% de los incidentes y operando bajo el modelo Malware-as-a-Service (MaaS). Su objetivo es el robo de credenciales y datos, utilizando el Phishing como su principal vector de entrada. El origen del malware se remonta a 2019 como 404 Keylogger, y la recomendación de seguridad más crucial contra este cibercrimen es la Autenticación Multifactor (MFA).
Esto es lo que descubrirás
Este artículo detalla la amenaza del infostealer más activo de 2025, SnakeStealer. Aprenderás sobre su origen, cómo funciona su modelo de distribución Malware-as-a-Service (MaaS), sus métodos de robo de datos y los seis puntos clave de seguridad que las empresas deben aplicar para defenderse de este tipo de cibercrimen.
SnakeStealer: La amenaza silenciosa que roba contraseñas
Los infostealers se han consolidado como una de las amenazas más frecuentes contra empresas y usuarios en todo el mundo. Su objetivo es simple: robar credenciales y datos sensibles de manera silenciosa para luego usarlos en fraudes, accesos indebidos o su venta en foros clandestinos.
En 2025, el protagonista es SnakeStealer, el infostealer más detectado, según la telemetría de ESET, responsable de casi el 20% de los incidentes de esta categoría en la primera mitad del año.
Orígenes y evolución
SnakeStealer apareció en 2019 bajo el nombre de 404 Keylogger. Con el tiempo, evolucionó y se popularizó entre cibercriminales gracias a su modelo de distribución Malware-as-a-Service (MaaS).
Este modelo permite a los atacantes alquilar el malware listo para usar, con soporte incluido, al igual que un software comercial, pero en el mercado negro.
Tras la caída de Agent Tesla (otro infostealer muy usado), SnakeStealer se posicionó como el reemplazo natural, recomendado incluso por operadores criminales en canales de Telegram.
Cómo funciona SnakeStealer
Aunque no introduce técnicas innovadoras, se caracteriza por su versatilidad y efectividad:
- Evasión de seguridad: Detiene procesos de antivirus y evita entornos de análisis.
- Persistencia: Modifica registros de arranque en Windows.
- Robo de credenciales: Extrae contraseñas de navegadores, clientes de correo, Discord y redes WiFi.
- Keylogging y capturas de pantalla (screenshots): Registra lo que escribe el usuario y toma capturas de pantalla.
- Exfiltración múltiple: Envía los datos robados por FTP, Telegram o correo electrónico.
Su principal vector de entrada sigue siendo el phishing, a través de archivos adjuntos comprimidos, en formatos menos comunes (RTF, ISO) o disfrazados como cracks y programas falsos.
Imagen : Uno de los primeros anuncios de Snakestealer, En Hackforums
Impacto en empresas
SnakeStealer representa un riesgo directo porque:
- Las credenciales robadas permiten accesos no autorizados a sistemas corporativos.
- Favorece el movimiento lateral dentro de redes empresariales.
- Abre la puerta a ataques de ransomware y fraudes financieros.
Recomendaciones de seguridad
Para empresas que buscan reducir el riesgo frente a este tipo de malware, el CSIRT recomienda:
- Gestión de parches y actualizaciones: Mantener sistemas y aplicaciones siempre actualizados.
- Protección de correo electrónico: Aplicar filtros anti-phishing y bloquear archivos adjuntos maliciosos.
- Autenticación multifactor (MFA): Esencial en accesos corporativos y servicios críticos.
- Concienciación del personal: Entrenar en detección de phishing y buenas prácticas digitales.
- Monitoreo proactivo: Implementar soluciones EDR/EDX que detecten procesos sospechosos.
Respuesta temprana: Ante sospecha de infección, cambiar todas las contraseñas desde un dispositivo limpio, cerrar sesiones activas y monitorear actividad inusual.
Proteger a tu organización de amenazas como SnakeStealer requiere ir más allá de las defensas tradicionales. Si bien el MFA es esencial, la detección y respuesta proactiva ante los movimientos del malware son cruciales. Para un blindaje integral, E-dea Networks ofrece soluciones avanzadas de Monitoreo y Gestión de Infraestructura TI, utilizando herramientas como SolarWinds y LevelBlue, que detectan comportamientos anómalos en tiempo real (EDR/EDX) y fortalecen la seguridad perimetral, asegurando que su red y sus endpoints estén preparados para bloquear cualquier intento de exfiltración de datos.
Fuente: https://web-assets.esetstatic.com/wls/en/papers/threat-reports/eset-threat-report-h12025.pdf
