Storm Stealer
Investigadores de ciberseguridad han confirmado una nueva y sofisticada amenaza dirigida a usuarios de Google Chrome, Microsoft Edge y Mozilla Firefox. Conocido como Storm, este avanzado programa de robo de información funciona como una plataforma de ataque multifuncional, combinando el robo de contraseñas, la manipulación de cookies de sesión para eludir la autenticación de dos factores y la extracción de datos de tarjetas de pago en un único servicio malicioso.
Storm, ofrecido como un conjunto de herramientas de alquiler, reduce significativamente las barreras de entrada para los ciberdelincuentes, al tiempo que pone en riesgo potencial a más de mil millones de usuarios de navegadores.
Tabla de contenido
Inside Storm: Un ladrón de información silencioso y sofisticado
Storm está diseñado para evadir la detección y maximizar la extracción de datos. Elude las herramientas de seguridad de los endpoints, descifra de forma remota las credenciales del navegador y permite a los atacantes restaurar las sesiones secuestradas sin levantar sospechas.
A diferencia del malware tradicional, que se basaba en técnicas de descifrado local, Storm opera con una arquitectura que prioriza el sigilo. Extrae silenciosamente datos confidenciales del navegador, como credenciales, cookies de sesión e información de monederos de criptomonedas, a servidores controlados por el atacante, donde el descifrado se realiza fuera del sistema infectado. Este enfoque remoto le permite evitar activar las defensas de seguridad modernas.
La evolución de las técnicas de robo de credenciales
Los métodos de robo de credenciales han experimentado una transformación significativa. Históricamente, los atacantes extraían y descifraban datos directamente en los dispositivos de las víctimas utilizando bibliotecas SQLite para acceder a las credenciales almacenadas en el navegador. Sin embargo, a medida que las soluciones de seguridad mejoraron, este tipo de actividad se volvió más fácil de detectar.
La introducción del cifrado vinculado a las aplicaciones por parte de Google en 2024, a partir de Chrome 127, complicó aún más estos ataques al vincular las claves de cifrado al propio navegador. Incluso cuando los atacantes intentaban explotar los protocolos de depuración del navegador o inyectar código malicioso, los sistemas de seguridad solían ser capaces de identificar comportamientos sospechosos.
Storm representa el siguiente paso en esta evolución al abandonar por completo el descifrado local y trasladar las operaciones a una infraestructura controlada por el atacante, minimizando así los rastros detectables en la máquina de la víctima.
Descifrado del lado del servidor y alcance entre navegadores
Storm va más allá de los programas de robo de información anteriores al gestionar completamente el descifrado en servidores remotos. Es compatible con navegadores basados en Chromium y Gecko, lo que le confiere una gran versatilidad en diferentes entornos.
Una vez descifrados los datos robados, se envían a un panel de control centralizado utilizado por los ciberdelincuentes. Este panel automatiza la fase de explotación, lo que permite a los atacantes aprovechar eficazmente los datos comprometidos a gran escala.
Secuestro automatizado de sesiones y riesgo empresarial
Una característica particularmente peligrosa de Storm es su capacidad para restaurar sesiones autenticadas. Al proporcionar un token de actualización de Google junto con un proxy SOCKS5 con la misma ubicación geográfica, los atacantes pueden restablecer silenciosamente la sesión activa de la víctima sin activar los desafíos de autenticación.
Esta capacidad tiene graves implicaciones:
- Los entornos empresariales pueden quedar expuestos a través de un único navegador comprometido, lo que permite el acceso a plataformas SaaS, sistemas internos e infraestructura en la nube.
- Los usuarios individuales se enfrentan al robo de cuentas, al fraude financiero y a otros ataques dirigidos sin necesidad de eludir directamente la autenticación de dos factores.
La reutilización de sesiones ya autenticadas anula de hecho las protecciones de inicio de sesión tradicionales.
Servicio de ciberdelincuencia de bajo coste y alto impacto
Storm está disponible para los ciberdelincuentes por tan solo 1000 dólares al mes, lo que la convierte en una herramienta accesible pero potente. Esta asequibilidad acelera la difusión de capacidades de ataque avanzadas, permitiendo que actores maliciosos menos sofisticados ejecuten campañas altamente efectivas.
La combinación de bajo coste, discreción y automatización supone un cambio significativo hacia operaciones de ciberdelincuencia escalables y basadas en servicios.
Medidas defensivas: Reducción de la exposición a las tormentas
Los expertos en seguridad destacan la importancia de reforzar las prácticas cotidianas de ciberseguridad para mitigar los riesgos que plantean amenazas como Storm:
- Evite descargar software de fuentes no confiables o no oficiales.
- Manténgase alerta ante el phishing y otras tácticas de ingeniería social.
- Utilice contraseñas únicas para cada cuenta y servicio.
- Habilite la autenticación de dos factores siempre que sea posible y adopte las claves de acceso cuando estén disponibles.
Si bien ninguna medida por sí sola garantiza una protección completa, la seguridad por capas reduce significativamente la probabilidad de una vulneración de la seguridad.
