SnakeStealer: el infostealer más detectado en 2025 y la amenaza silenciosa que domina el robo de contraseñas

En el mundo digital actual, donde la información personal y corporativa se ha convertido en uno de los activos más valiosos, los cibercriminales han perfeccionado sus métodos para robar datos de forma silenciosa y efectiva. Uno de los vectores más utilizados en 2025 son los infostealers, una categoría de malware diseñada para infiltrarse en los sistemas, extraer credenciales y datos sensibles, y enviarlos a servidores controlados por atacantes. Según el ESET Threat Report H1 2025, SnakeStealer se ha posicionado como el infostealer más detectado del año, superando a otras familias como Agent Tesla, HoudRAT y LummaStealer.

Este tipo de amenaza no solo afecta a usuarios individuales, sino que representa un riesgo creciente para empresas, gobiernos y organizaciones que dependen de la integridad de sus sistemas digitales. SnakeStealer, en particular, ha demostrado una capacidad de adaptación notable, evolucionando desde sus primeras versiones en 2019 hasta convertirse en una herramienta sofisticada que opera bajo el modelo de malware-as-a-service (MaaS), facilitando su uso incluso por atacantes sin conocimientos técnicos avanzados.

Origen y evolución de SnakeStealer

SnakeStealer apareció por primera vez en 2019, inicialmente bajo el nombre de 404 Keylogger. En sus primeras versiones, utilizaba la plataforma Discord para alojar el malware, que se descargaba tras la interacción del usuario con archivos adjuntos en correos de phishing. Esta técnica, aunque no nueva, se popularizó rápidamente entre los cibercriminales por su efectividad y bajo costo de implementación.

Durante los años 2020 y 2021, SnakeStealer experimentó un pico de actividad, con campañas distribuidas globalmente, aunque sin una preferencia geográfica clara. En Latinoamérica, si bien no se reportaron campañas masivas, sí se identificaron casos aislados de infección. Con el paso del tiempo, el malware diversificó sus métodos de entrega, utilizando archivos comprimidos con contraseña, formatos menos comunes como RTF o ISO, e incluso empaquetado junto a otras amenazas.

El modelo MaaS y su impacto en la propagación

Una de las razones por las que SnakeStealer ha ganado terreno en el ecosistema cibercriminal es su modelo de negocio basado en MaaS. Este enfoque permite que el malware sea alquilado o vendido como si fuera un software comercial, pero en mercados clandestinos. Los operadores ofrecen soporte técnico, actualizaciones y documentación, lo que facilita su uso por parte de actores maliciosos con poca experiencia. Tras la caída de Agent Tesla, SnakeStealer fue recomendado como reemplazo en canales de Telegram, lo que impulsó su adopción y lo convirtió en el infostealer más detectado en 2025, responsable de aproximadamente el 20 % de las detecciones globales.

Técnicas de evasión y persistencia

SnakeStealer no solo destaca por su facilidad de distribución, sino también por sus capacidades técnicas. Entre sus funciones más utilizadas se encuentran:

• Eliminación de procesos relacionados con herramientas de seguridad, análisis de malware y depuración.
• Verificación de hardware para evitar ejecución en máquinas virtuales.
• Modificación de registros de arranque de Windows para garantizar persistencia.
• Robo de credenciales almacenadas en navegadores, clientes de correo, bases de datos, redes WiFi y aplicaciones como Discord.
• Captura del portapapeles, registro de teclas (keylogging) y toma de capturas de pantalla.

Estas funcionalidades permiten al atacante obtener una visión completa del comportamiento del usuario y acceder a información crítica sin ser detectado fácilmente.

Mecanismos de exfiltración de datos

Una vez que SnakeStealer ha recopilado la información deseada, utiliza diversos métodos para enviarla al atacante. Entre los más comunes se encuentran:

• Carga de archivos a servidores mediante protocolo FTP.
• Publicación de datos en canales de Telegram usando HTTP.
• Envío de información comprimida como adjunto en correos electrónicos.

Esta variedad de canales de exfiltración complica la detección y el bloqueo por parte de sistemas de seguridad tradicionales, lo que aumenta el riesgo de pérdida de datos.

Recomendaciones para mitigar el riesgo

Desde el laboratorio de ESET, se comparten una serie de buenas prácticas para reducir la probabilidad de infección por SnakeStealer y otros infostealers:

• Mantener el sistema operativo y todas las aplicaciones actualizadas.
• Utilizar soluciones de seguridad confiables en computadoras y dispositivos móviles.
• Desconfiar de correos electrónicos y mensajes no solicitados, especialmente si contienen archivos adjuntos o enlaces sospechosos.
• Verificar la autenticidad de mensajes que aparentan ser de entidades reconocidas, contactando directamente por canales oficiales.
• Activar la autenticación multifactor (MFA) en todos los servicios que lo permitan.
• En caso de sospecha de infección, cambiar todas las contraseñas desde un dispositivo seguro, cerrar sesiones abiertas y monitorear actividad inusual en cuentas personales o corporativas.

SnakeStealer y el futuro de la ciberseguridad

El crecimiento de SnakeStealer en 2025 refleja una tendencia preocupante en el ámbito de la ciberseguridad: la profesionalización del cibercrimen y la democratización del acceso a herramientas maliciosas. Con modelos como MaaS, cualquier persona con intenciones maliciosas puede lanzar campañas de robo de información sin necesidad de desarrollar su propio malware. Esto obliga a los equipos de seguridad a adoptar enfoques más proactivos, basados en inteligencia de amenazas, análisis de comportamiento y protección en tiempo real.

Además, el auge de infostealers como SnakeStealer pone en evidencia la necesidad de fortalecer la educación digital, tanto en usuarios individuales como en organizaciones, para reconocer señales de alerta y actuar con rapidez ante posibles incidentes. La ciberseguridad ya no es solo responsabilidad de los expertos: es una tarea compartida que requiere conciencia, preparación y colaboración.