Lo primero en el resumen de esta semana es un análisis de los programas de robo de información y de cómo están contribuyendo al comercio de credenciales y a los ataques de ransomware. A continuación, el equipo de Tanium CTI analiza los últimos datos de Google sobre la explotación de vulnerabilidades de día cero. Por último, el equipo concluye con una descripción general de un nuevo programa de robo de información denominado «Gremlin Stealer».
Los programas de robo de información suponen una amenaza para la seguridad empresarial
KELA ha publicado un informe titulado « » (se abre en una nueva pestaña) en el que resume su investigación sobre el malware de robo de información, cómo este impulsa el comercio de credenciales y cómo facilita los ataques de ransomware.
Entre las principales conclusiones, cabe destacar que el mercado de credenciales corporativas representa actualmente una parte considerable del panorama de amenazas y del ecosistema de la ciberdelincuencia. Las credenciales corporativas se han convertido en un bien de gran valor para los autores de amenazas, ya que pueden facilitar la realización de nuevos ataques.
Aunque las credenciales pueden ser sustraídas mediante diversos métodos, el malware de robo de información sigue siendo un mecanismo muy extendido. Esto se debe a que permiten robar credenciales a gran escala y, a menudo, se pueden adquirir con facilidad, lo que las pone al alcance de actores con distintos niveles de competencia.
Cómo han evolucionado los ataques mediante credenciales robadas
KELA observa una creciente sofisticación y comercialización en el robo de credenciales.
Si bien los foros de ciberdelincuencia han sido tradicionalmente la principal vía para adquirir credenciales robadas, están surgiendo nuevos canales. Un ejemplo son los mercados automatizados, que permiten a los compradores realizar búsquedas en bases de datos que contienen credenciales sustraídas.
Los modelos de suscripción también se utilizan cada vez más para distribuir programas de robo de información y credenciales comprometidas. Los autores de amenazas ofrecen ahora suscripciones a servicios de credenciales comprometidas, lo que permite a los suscriptores acceder a credenciales robadas.
¿A qué tipo de empleados se dirigen principalmente los autores de amenazas?
KELA llevó a cabo un análisis adicional de su base de datos de equipos infectados y credenciales comprometidas con el fin de identificar a las personas que se encontraban en mayor riesgo. Se constató que el departamento más afectado fue el de gestión de proyectos, seguido de los de consultoría y desarrollo de software. Los países en los que estos empleados fueron objeto de un mayor número de ataques fueron Brasil, seguido de la India, Estados Unidos y España.
KELA también analizó el sector más afectado y, según el informe « », se constató que el sector tecnológico encabezaba la lista, con un 14 % de los casos. A continuación, le siguieron los servicios informáticos, la consultoría informática y la fabricación de productos « ».
¿De qué manera utilizan las cuentas válidas los grupos de ransomware?
Los grupos de ransomware suelen utilizar cuentas válidas o credenciales robadas como método de acceso inicial para sus ataques. KELA analizó a las víctimas de los grupos de ransomware Play, Akira y Rhysida y comparó a dichas víctimas con su propio repositorio de datos de cuentas comprometidas. Esto les permitió identificar a las víctimas cuyas cuentas habían sido comprometidas mediante un programa malicioso de robo de información.
KELA buscaba específicamente cuentas relacionadas con VPN, RMM y Active Directory, ya que son las más solicitadas. Identificaron a varias víctimas de ransomware cuyas credenciales comprometidas se habían compartido entre cinco y 95 días antes de que se reivindicara el ataque.
[Lea también: ¿En qué consiste la seguridad de Active Directory? [Riesgos y buenas prácticas]
Aunque no se ha confirmado que estas credenciales se utilizaran en el ataque, KELA señala que «suponen una amenaza significativa para las organizaciones, ya que los autores de las amenazas pueden hacer un uso indebido de ellas para acceder a una organización y, a continuación, utilizarlas para llevar a cabo sus ataques, como los ataques de ransomware».
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El estudio de KELA pone de relieve los peligros del malware de robo de información y cómo este alimenta el resto del panorama de amenazas.
Cabe destacar que el informe señala qué empleados son los más frecuentemente objeto de robos de credenciales. Si bien la gestión de proyectos fue el puesto más solicitado en general, el desarrollo de software fue el más solicitado, concretamente en el sector tecnológico.
Esto no significa que otros puestos estén totalmente a salvo de esta amenaza. Sin embargo, esto plantea la posibilidad de que los atacantes actúen de forma más selectiva en sus intentos de robo de credenciales.
Google ha detectado 75 vulnerabilidades de día cero en 2024
El Grupo de Inteligencia sobre Amenazas de Google (se abre en una nueva pestaña) ha registrado 75 vulnerabilidades de día cero que fueron explotadas en 2024 casos.
Esta cifra es inferior a las 98 vulnerabilidades que Google detectó en 2023, aunque ligeramente superior a las que Google detectó en 2022.
Google también constató que el número de vulnerabilidades de «día cero» que afectaron a las tecnologías empresariales fue ligeramente superior el año pasado, situándose en el 44 %, frente al 37 % registrado en 2023.
Dirigido a plataformas y productos para el usuario final
El 56 % de las vulnerabilidades de «día cero» del año pasado tenían como objetivo plataformas y productos destinados a los usuarios finales. Las vulnerabilidades de esta categoría incluyen aquellas que se utilizan para atacar navegadores, dispositivos móviles y sistemas operativos de escritorio.
Los ataques de día cero dirigidos a navegadores y dispositivos móviles se redujeron de forma significativa. Sin embargo, el número de ataques de «día cero» dirigidos a los sistemas operativos aumentó, siendo Windows el más afectado.
Google señala asimismo que las cadenas de exploits que combinaban varias vulnerabilidades de día cero fueron las más utilizadas para atacar dispositivos móviles.
El papel de las tecnologías empresariales vulnerables
En 2024 se aprovecharon 33 vulnerabilidades de «día cero» en productos empresariales, principalmente aquellos utilizados por empresas o en entornos empresariales.
De las vulnerabilidades tecnológicas dirigidas a las empresas, 20 afectaban a productos de seguridad y de red. En general, Google ha observado un aumento en el número de proveedores empresariales que han sido objeto de ataques en los últimos años, habiendo identificado el año pasado 18 proveedores empresariales distintos que fueron blanco de ataques de «día cero».
Aprovechamiento por parte del proveedor
Microsoft y Google fueron los dos principales proveedores afectados por vulnerabilidades de día cero en 2024. Ivanti ascendió hasta el tercer puesto, mientras que Apple descendió al cuarto.
¿Qué actores maliciosos son los responsables de los exploits de día cero?
Google ha constatado que varios grupos maliciosos contribuyeron a la explotación de vulnerabilidades de día cero el año pasado.
El grupo más numeroso lo constituían los agentes de espionaje patrocinados por el Estado, que representaban el 29.4 % de los ataques. Dentro de este grupo, los agentes vinculados a la República Popular de China (RPC) fueron los que más contribuyeron.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Las vulnerabilidades de «día cero» siguen siendo un objetivo clave para los autores de amenazas. Aunque el número total de vulnerabilidades de «día cero» se ha reducido ligeramente en comparación con el año anterior, las tendencias han cambiado.
El análisis de Google ofrece información útil sobre estos patrones cambiantes. Una de las principales conclusiones del informe de Google es que existe un creciente interés por el aprovechamiento de la tecnología dirigida a las empresas, y que las vulnerabilidades de día cero han aumentado un 7 %, pasando de 2023 a 2024. Tal y como señala Google, esto se debe «principalmente al mayor uso de software y dispositivos de seguridad y redes».
«Gremlin Stealer» aparece en un foro clandestino
Palo Alto ha identificado (se abre en una nueva pestaña) un nuevo malware de robo de información denominado «Gremlin Stealer», que actualmente se está distribuyendo en un canal de Telegram llamado «CoderSharp».
Gremlin Stealer puede sustraer diversos tipos de datos, entre los que se incluyen cookies, contraseñas, criptomonedas, información del ordenador, archivos, capturas de pantalla y mucho más.
¿Qué ocurre con los datos robados?
El responsable de «Gremlin Stealer» ha afirmado recientemente haber subido una gran cantidad de datos sustraídos a su servidor.
Palo Alto considera que este servidor es un portal configurable que contiene malware. La página web de «Gremlin Stealer» muestra 14 archivos, cada uno de los cuales supuestamente contiene datos sustraídos a una víctima.
¿Cómo funciona Gremlin Stealer?
Palo Alto lleva realizando un seguimiento exhaustivo de este malware desde March 2025 y ha recopilado una lista de sus funciones principales:
- Cómo eludir la protección «Cookie v20»: . Gremlin Stealer puede eludir la protección «Cookie v20 » de Chrome mediante una técnica habitual que emplean muchos programas de robo de información. Según Palo Alto, , Google ha introducido algunos cambios para impedir esta funcionalidad.
- Navegadores analizados: . Gremlin Stealer busca cookies y contraseñas guardadas en navegadores basados en Chrome y en Gecko, y guarda los datos en un archivo para su exfiltración.
- Comprobación de carteras de criptomonedas: Al igual que muchos programas de robo de información, Gremlin Stealer busca diferentes carteras de criptomonedas en los dispositivos y sustrae los archivos pertinentes.
- Robo de credenciales de FTP/VPN: El malware intentará robar nombres de usuario y contraseñas de FTP mediante una función de robo de credenciales. Además, tiene como objetivo las credenciales de VPN.
- Recopilación de datos de sesión: El malware intentará recopilar datos e información de sesión de Telegram y Discord. Esto es menos habitual en el caso de los programas de robo de información.
- Obtención de información del sistema: Al igual que muchas otras familias de malware, recopila información sobre el sistema infectado, incluyendo el nombre de usuario, los datos del portapapeles, el identificador de hardware, etc.
- Robo de datos de tarjetas de crédito: . El programa «Gremlin Stealer» también puede sustraer información de tarjetas de crédito.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Gremlin Stealer lleva poco tiempo en el mercado. Sin embargo, cuenta con una amplia gama de prestaciones.
Aunque aún está por ver si «Gremlin Stealer» tendrá el mismo éxito que otros programas de robo de información populares, este tipo de malware está en pleno auge en estos momentos, por lo que conviene estar atentos a esta amenaza.
Si desea obtener más información técnica, Palo Alto comparte fragmentos (se abre en una nueva pestaña) del código de Gremlin Stealer correspondientes a cada una de sus diversas funciones.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de « » en.
