Anatomía de una entrada de stealer log: qué contiene realmente una línea de datos robados
Cuando un infostealer termina su trabajo, el resultado no es un exploit dramático: es un archivo de texto. Los vendedores lo llaman log: todo lo que el malware arrancó de una máquina, ordenado para que los compradores lo analicen de un vistazo. Como buena parte de los secuestros de cuentas actuales empieza aquí, merece la pena ver qué contiene una sola entrada. La entrada siguiente es un compuesto ilustrativo - sin datos reales de víctimas - modelado a partir de la investigación pública de Red Canary, SpyCloud, Hudson Rock y Sekoia, con los investigadores de la dark web de Kaspersky completando el panorama.
La cabecera: un perfil de la máquina
La mayoría de las familias de stealers comienzan cada archivo con un bloque de sistema. El estudio de Sekoia sobre el comercio de logs enumera los campos habituales: versión y arquitectura del sistema operativo, nombre del equipo y del usuario, modelo de CPU y GPU, idioma del teclado, un identificador de hardware, además de IP pública, user-agent del navegador y una estimación de geolocalización. Nuestra entrada ilustrativa empieza así:- Equipo: DESKTOP-J41R7, usuario "anna" - Windows 10 22H2, 64 bits
- Navegador: Chrome 139 - CPU: Intel i5-10400 - GPU: GTX 1660 - teclado: en-US
- IP: 84.xx.xx.xx (ISP residencial), campo de país: AT - recogida: 2026-11-09
Las líneas de credenciales: URL, usuario, contraseña
Bajo la cabecera van los inicios de sesión guardados en el navegador, normalmente en tríos de URL-usuario-contraseña - los datos ULP que describe Hudson Rock. Un recorte simplificado de nuestra entrada:- https://mail.example.com | a.reid91 | white-tulip-42
- https://shop.example.net | a.reid91@example.com | sunset-bike-88
- https://vpn.example-corp.com | anna.reid | Qk7!vTz9
Por qué el tarro de cookies pesa más que la columna de contraseñas
La columna de contraseñas acapara la atención; la columna de cookies provoca los incidentes. Una cookie de sesión es el billete que un sitio emite tras el inicio de sesión, y quien la reenvía presenta una sesión en la que el servidor ya confía - sin adivinar contraseñas, sin página de phishing y sin reto de multi-factor, porque el factor ya se satisfizo en el inicio original. Como lo formula el glosario de SpyCloud:Los ladrones de cookies saltan la autenticación - incluso la MFA.Los datos del log pueden abrir el inicio de sesión único corporativo, cuentas financieras y exchanges de cripto, y los investigadores de Red Canary observan que los atacantes aprovechan cualquier oportunidad para iniciar sesión en lugar de hackear. Sekoia documenta hasta dónde llega una sola cookie: el grupo Lapsus$ supuestamente compró la cookie de un empleado en el Genesis Market y llevó la sesión remota hasta el Slack de la empresa, convenciendo al soporte de TI de un reinicio del MFA. Un log con columna de contraseñas pobre pero tarro de cookies fresco puede valer más que lo inverso.
Del panel del operador a la nube de logs
Los archivos en bruto empiezan en el panel del operador del malware, donde cada máquina infectada reporta. Allí se analizan y normalizan - Sekoia menciona herramientas de procesado como Crystal o BLTools -, luego se filtran por palabras clave, se deduplican y se enriquecen: las cookies se vinculan a los logins, se comprueban saldos y número de seguidores, se validan frases semilla y se registra el estado del 2FA, con las comprobaciones enrutadas por proxies del propio país de la víctima para no disparar los sistemas antifraude. Después el archivo se convierte en inventario. Los logs individuales cualificados se venden en marketplaces centralizados por entre cinco y cien dólares, según el estudio de Sekoia. Los compradores de volumen se suscriben a servicios que se hacen llamar nubes de logs, anunciando entre 1.000 y 15.000 logs frescos al día por entre 200 y 900 dólares al mes. Adónde fluye ese inventario cuando los paneles son incautados es una cuestión de mercado por derecho propio: a comienzos de año examinamos el mercado de stealer logs tras las caídas.Cómo detectar una entrada caducada o falsa
Los compradores vigilan la mercancía, porque la calidad es desigual. Los investigadores de la dark web de Kaspersky señalan que la expectación alrededor de bases de datos robadas suele envolver material viejo, reciclado o directamente fabricado. En los mercados de logs, las señales son mecánicas:- El formato no coincide con la familia de stealer reclamada - un archivo reetiquetado o reciclado
- Las mismas líneas URL-usuario ya circulan de ventas anteriores
- Cookies caducadas o controles de sesión fallidos - datos viejos vendidos como frescos
- Detalles del sistema que contradicen la geolocalización o el supuesto valor corporativo
- Una oferta de "logs frescos" sin fecha de recogida alguna
Qué debe rotar una víctima
Si un correo o un dominio aparece en esta economía, cambiar la contraseña es el medio arreglo clásico. La orientación de SpyCloud es que un cambio de contraseña por sí solo no elimina una sesión robada: mientras esas cookies sigan válidas, el comprador conserva el acceso. Red Canary dice a los respondedores restablecer credenciales y revocar manualmente las sesiones para que las cookies capturadas dejen de funcionar; la recomendación de remediación de Hudson Rock empareja los mismos dos pasos. En la práctica significa:- Cerrar todas las sesiones en correo, banca, SSO y redes sociales
- Revocar concesiones OAuth y contraseñas de aplicación; invalidar los refresh tokens
- Reinscribir el multi-factor si el factor fue manipulado
- Sustituir las tarjetas guardadas y mover cualquier cartera cuya frase semilla haya tocado la máquina