Una nueva investigaci\u00f3n de Kaspersky Digital Footprint (DFI) ha descubierto que m\u00e1s de un tercio de las infecciones por infostealers comienzan cuando los usuarios ejecutan archivos directamente desde carpetas temporales del navegador, lo que demuestra que el comportamiento del usuario sigue siendo un factor clave detr\u00e1s del robo de credenciales. Solo el 32% de los ataques de infostealers utilizan t\u00e9cnicas de inyecci\u00f3n de procesos y living-off-the-land, un comportamiento t\u00edpico de familias de malware avanzado.<\/p>\n\n\n\n
Los investigadores de Kaspersky DFI analizaron 5 millones de archivos de registro (logs) de infostealers descubiertos en la dark web en 2025. Estos registros, que contienen datos robados de dispositivos comprometidos como credenciales de cuentas, cookies del navegador y metadatos del sistema, tambi\u00e9n revelaron las ubicaciones originales de los archivos maliciosos en las m\u00e1quinas infectadas.<\/p>\n\n\n\n
La ubicaci\u00f3n m\u00e1s com\u00fan fue el directorio temporal de Windows, C:\\Users\\AppData\\Local\\Temp\\, que represent\u00f3 aproximadamente el 35% de todos los casos observados. Esta carpeta se utiliza habitualmente para almacenar archivos descargados de Internet antes de que el usuario los guarde expl\u00edcitamente: una parte significativa de las infecciones ocurre cuando los usuarios ejecutan directamente los archivos descargados, sin que los atacantes dependan de t\u00e9cnicas sofisticadas de evasi\u00f3n.<\/p>\n\n\n\n
La segunda ubicaci\u00f3n m\u00e1s com\u00fan, responsable de aproximadamente el 32% de los casos, fue C:\\Windows\\Microsoft.NET\\Framework\\. Esta ruta est\u00e1 asociada con t\u00e9cnicas de inyecci\u00f3n de procesos y living-off-the-land, en las cuales el malware abusa de procesos leg\u00edtimos del sistema para evadir la detecci\u00f3n. Este comportamiento se observa com\u00fanmente en familias de infostealers m\u00e1s avanzadas, incluyendo Lumma.<\/p>\n\n\n\n
El an\u00e1lisis indica que las infecciones a menudo est\u00e1n vinculadas a dos acciones de riesgo del usuario: descargar software de fuentes no confiables e intentar activar software ilegalmente. En muchos casos, las v\u00edctimas siguen las instrucciones proporcionadas por los actores de amenazas y desactivan el software de seguridad antes de ejecutar archivos maliciosos. Seg\u00fan la investigaci\u00f3n, muchos archivos maliciosos estaban disfrazados de instaladores de software leg\u00edtimos, activadores o modificaciones de juegos (mods). Si bien los mods de juegos siguen siendo un se\u00f1uelo com\u00fan, los atacantes adaptan con frecuencia las mismas t\u00e9cnicas para distribuir pr\u00e1cticamente cualquier tipo de software.<\/p>\n\n\n\n
\u00abLos infostealers surgieron con fuerza en 2025, con un aumento de las infecciones del 59% a\u00f1o tras a\u00f1o. Nuestro an\u00e1lisis muestra que el comportamiento del usuario sigue siendo un factor clave detr\u00e1s de muchos de estos compromisos. El volumen de infostealers ejecutados desde carpetas de descarga temporales sugiere que los usuarios a menudo los inician inmediatamente despu\u00e9s de descargarlos. En muchos casos, los atacantes no necesitan t\u00e9cnicas sofisticadas, simplemente necesitan convencer al usuario de que ejecute un archivo\u00bb, dijo Joao Brandao, Digital Footprint Analyst en Kaspersky.<\/p>\n\n\n\n
M\u00e1s all\u00e1 de los rasgos de comportamiento, tambi\u00e9n se observaron patrones de nomenclatura distintos en las diferentes familias de infostealers. Lumma tiende a favorecer nombres de instaladores gen\u00e9ricos, ofuscaci\u00f3n de .NET e inyecci\u00f3n de procesos. Vidar, a su vez, aparece t\u00edpicamente como variantes de Bootstrapper.exe que dependen de cargadores convencionales. Stealc sigue una estrategia mixta, utilizando tanto nombres significativos como Licence_Version_Loader.exe como nombres de archivo generados aleatoriamente. RisePro, por el contrario, destaca por convenciones recurrentes como MPGPH.exe y MSIUpdater.exe.<\/p>\n\n\n\n
Para reducir el riesgo de infecciones por infostealers, Kaspersky recomienda a las empresas hacer lo siguiente:<\/p>\n\n\n\n
\u25cf Adoptar un servicio integral de protecci\u00f3n contra riesgos digitales que supervise los activos digitales de las organizaciones y detecte amenazas en la web superficial, profunda y oscura, como Kaspersky Digital Footprint Intelligence.<\/p>\n\n\n\n
\u25cf Proporcionar a sus profesionales de InfoSec una visibilidad profunda de las ciberamenazas que se dirigen a su organizaci\u00f3n. El \u00faltimo Kaspersky Threat Intelligence les proporciona un contexto amplio y significativo a lo largo de todo el ciclo de gesti\u00f3n de incidentes y les ayuda a identificar los ciberriesgos de manera oportuna.<\/p>\n\n\n\n
Para mantenerse seguros, se recomienda a los usuarios:<\/p>\n\n\n\n
\u25cf Descargar software \u00fanicamente de fuentes oficiales y confiables, evitando software pirata, cracks, activadores e instaladores no oficiales.<\/p>\n\n\n\n
\u25cf Utilizar una soluci\u00f3n de seguridad s\u00f3lida en todas las computadoras y dispositivos m\u00f3viles, como Kaspersky Premium. Esta le advertir\u00e1 sobre posibles amenazas y evitar\u00e1 la infecci\u00f3n.<\/p>\n\n\n\n
\u25cf Gestionar los datos sensibles de forma segura: evitar almacenar contrase\u00f1as o frases de recuperaci\u00f3n en su galer\u00eda de fotos o notas ; en su lugar, utilizar un administrador de contrase\u00f1as dedicado y confiable, como Kaspersky Password Manager.<\/p>\n\n\n\n
\u25cf Nunca desactivar el antivirus ni las herramientas de seguridad para instalar software y tener precauci\u00f3n al descargar mods de juegos, trucos (cheats) o utilidades de terceros.<\/p>\n\n\n\n
\u25cf Mantener actualizados los sistemas operativos y las aplicaciones, utilizar contrase\u00f1as s\u00f3lidas y \u00fanicas, y habilitar la autenticaci\u00f3n de m\u00faltiples factores siempre que sea posible.<\/p>\n","protected":false},"excerpt":{"rendered":"
Una nueva investigaci\u00f3n de Kaspersky Digital Footprint (DFI) ha descubierto que m\u00e1s de un tercio de las infecciones por infostealers comienzan cuando los usuarios ejecutan archivos directamente desde carpetas temporales del navegador, lo que demuestra que el comportamiento del usuario sigue siendo un factor clave detr\u00e1s del robo de credenciales. Solo el 32% de los […]<\/p>\n","protected":false},"author":1,"featured_media":14777,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[],"class_list":["post-14776","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologias"],"_links":{"self":[{"href":"https:\/\/www.elcapital.pe\/index.php?rest_route=\/wp\/v2\/posts\/14776","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.elcapital.pe\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.elcapital.pe\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.elcapital.pe\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.elcapital.pe\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=14776"}],"version-history":[{"count":1,"href":"https:\/\/www.elcapital.pe\/index.php?rest_route=\/wp\/v2\/posts\/14776\/revisions"}],"predecessor-version":[{"id":14778,"href":"https:\/\/www.elcapital.pe\/index.php?rest_route=\/wp\/v2\/posts\/14776\/revisions\/14778"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.elcapital.pe\/index.php?rest_route=\/wp\/v2\/media\/14777"}],"wp:attachment":[{"href":"https:\/\/www.elcapital.pe\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=14776"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.elcapital.pe\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=14776"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.elcapital.pe\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=14776"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}