En 2025, un malware silencioso avanza con fuerza en el paisaje cibernético: SnakeStealer. Según el ESET Threat Report H1 2025, este infostealer ya es el líder en detección a nivel mundial. Los infostealers son programas maliciosos diseñados para sustraer credenciales, datos sensibles y toda huella digital útil del usuario, sin que este lo note. Su sigilo y eficacia los han convertido en herramientas predilectas de grupos criminales.
Un salto que no es casualidad
SnakeStealer no es nuevo. Se detectó por primera vez en 2019. Al principio, su mecanismo era simple: aprovechar Discord como alojamiento del malware y distribuirlo vía phishing mediante archivos adjuntos. Pero su crecimiento en 2025 tiene raíces más profundas.
Según ESET, SnakeStealer ahora representa casi una quinta parte de todas las detecciones de infostealers registradas durante la primera mitad del año. En comparación con el segundo semestre de 2024, el malware duplicó su frecuencia de detección, con un aumento de más del 111%.
Parte de su ascenso se explica por el declive de Agent Tesla, otro infostealer que dominaba tiempos recientes. Sus desarrolladores abandonaron el mantenimiento, lo que dejó un vacío que SnakeStealer ocupó rápidamente. Incluso, operadores de Agent Tesla recomendaban directamente usar SnakeStealer como reemplazo en foros clandestinos.
Martina Lopez, investigadora de ESET Latinoamérica, afirma:
“SnakeStealer volvió a ganar popularidad en el ambiente cibercriminal… tras la caída de Agent Tesla … sus propios operadores recomendaron a SnakeStealer como reemplazo … esto podría explicar por qué SnakeStealer pasó a ocupar el primer puesto en las detecciones.”
Ese empujón social y técnico permitió que la familia de malware se difundiera rápido y penetrara distintos mercados, incluso en zonas donde antes no se reportaban campañas completas.
Evolución en la distribución y modus operandi
Aunque el vector inicial clásico sigue siendo el phishing con adjuntos, SnakeStealer ha adoptado variantes más sofisticadas. Puede venir comprimido con contraseña, como downloader, en archivos RTF o ISO, o incluso atado a otras amenazas. También hay casos de engaño mediante cracks o aplicaciones falsas, aunque no son tan comunes.
Cuando infecta el sistema, despliega todo su arsenal técnico:
- Ejecuta técnicas evasivas: cierra procesos de herramientas de seguridad o debuggers, revisa si está en una máquina virtual.
- Instala persistencia modificando el registro de arranque en Windows.
- Roba credenciales almacenadas en navegadores, clientes de correo, chats (Discord, por ejemplo) y redes WiFi.
- Captura portapapeles, registra pulsaciones de teclas (keylogging).
- Toma capturas de pantalla.
Para extraer los datos, ofrece múltiples vías: subirlos a servidores FTP, enviarlos por correo electrónico como adjunto, o publicarlos a través de un canal de Telegram.
Geográficamente, SnakeStealer no se limita a una región: ESET señala que sus campañas aparecieron en Turquía, Japón, España, Polonia y otros países de Europa del Este. En Latinoamérica, hasta ahora no se han observado campañas completas, al menos públicamente reportadas.
Un entorno competitivo y en constante cambio
SnakeStealer no reina sin competencia. Infostealers como LummaStealer y Danabot también siguieron creciendo en detecciones en 2025. ESET participó en operaciones globales para desarticular sus infraestructuras maliciosas. Estas intervenciones ya provocan una caída de detecciones en esos malware, al menos momentánea.
Pero aunque Lumma y Danabot recibieron golpes fuertes, SnakeStealer logra mantenerse en ascenso. Y el impacto conjunto de estos actores muestra cómo el panorama del malware-as-a-service se amplía, con proveedores que ofrecen “paquetes llave en mano” a atacantes menos sofisticados.
Las nuevas tendencias en ciberamenazas
El informe de ESET revela que el auge de SnakeStealer no es un caso aislado. Hay movimientos destacables:
- El método ClickFix, que engaña al usuario con mensajes falsos para que ejecute comandos dañinos, creció más de un 500%. Se convirtió en el segundo vector de ataque más común detrás del phishing.
- En el mundo Android, las detecciones de adware suben un 160%. Un malware llamado Kaleidoscope aprovecha apps gemelas falsas (evil twin) para inundar el dispositivo con publicidad nociva.
- El fraude vía NFC explotó más de 35 veces en comparación con el segundo semestre de 2024, con técnicas que capturan datos de tarjetas contactless o relés maliciosos.
Estas tendencias revelan que los criminales combinan vectores tradicionales (phishing, malware clásico) con tácticas más modernas y engañosas.
El desafío de mantenerse un paso adelante
SnakeStealer hoy lidera un ecosistema agresivo de robo de datos. No es solo un malware poderoso: es un servicio completo al alcance de quienes quieren delinquir sin grandes conocimientos técnicos. Su ascenso responde tanto a fallas en rivales como a una estrategia bien coordinada y “socialmente” promovida en foros clandestinos.
En un entorno donde los vectores evolucionan constantemente, la resiliencia digital exige vigilancia, educación y herramientas actualizadas. El desafío es real, pero quienes se preparan pueden limitar el impacto de estas amenazas.
