RedLine Stealer: el malware que vacía los navegadores de tus empleados

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Entender qué es RedLine Stealer es entender por qué una infección aparentemente banal en el portátil de un empleado acaba convirtiéndose, semanas después, en una intrusión en tu WordPress o en un fraude en tu banca online. RedLine es uno de los infostealers más veteranos y prolíficos del panorama, y su especialidad es precisamente vaciar los navegadores de tus empleados en cuestión de segundos. Este artículo profundiza en un caso concreto dentro de nuestra guía sobre cómo hackean a las pymes: infostealers, phishing y BEC.

RedLine Stealer: qué es y por qué lleva años liderando el mercado

RedLine Stealer es un malware de robo de información que se comercializa bajo un modelo de malware como servicio: cualquier delincuente puede alquilarlo por una cuota mensual o comprarlo en foros clandestinos, sin necesidad de saber programar. Esa democratización es la clave de su éxito. Al no exigir conocimientos técnicos, ha puesto una herramienta profesional de robo de credenciales en manos de miles de operadores, y ha convertido las credenciales de pymes en una mercancía barata y abundante.

Su objetivo no es destruir ni cifrar nada. Busca datos que se puedan monetizar de inmediato: usuarios y contraseñas, cookies de sesión, datos de autocompletado, información de tarjetas guardada en el navegador y credenciales de carteras de criptomonedas. Todo ello se empaqueta en lo que en el argot se llama un «log», que después se vende en lotes.

Cómo vacía los navegadores de tus empleados

RedLine está diseñado para actuar rápido y en silencio. Su rutina es sistemática:

• Recorre los navegadores instalados. Chrome, Edge, Opera, Brave y otros basados en Chromium, además de Firefox, guardan las contraseñas y cookies en ubicaciones conocidas. RedLine las lee directamente del disco.
• Descifra las credenciales. Como se ejecuta con la sesión del propio usuario, dispone de la clave necesaria para descifrar las contraseñas que el navegador «recuerda».
• Roba las cookies de sesión. Este punto es crítico: con la cookie de una sesión ya iniciada, el atacante entra en el correo o el panel sin contraseña y saltándose el segundo factor.
• Captura contexto del equipo. Recopila datos del sistema, software instalado e incluso capturas de pantalla, información valiosa para preparar el siguiente ataque.
• Exfiltra y desaparece. Envía el botín a su infraestructura de mando y control y, en muchas variantes, borra sus huellas.

Las técnicas concretas que emplea (lectura de almacenes de credenciales, robo de cookies, descubrimiento del sistema) están catalogadas en MITRE ATT&CK, lo que permite mapear su comportamiento y diseñar detecciones específicas.

Cómo llega RedLine a los equipos

Los vectores de entrada de RedLine son deprimentemente eficaces porque explotan el comportamiento cotidiano:

• Software pirata y «cracks». Falsos activadores de Windows, Office o programas de pago que en realidad instalan el stealer.
• Descargas engañosas. Anuncios y resultados de búsqueda manipulados que imitan páginas oficiales de software legítimo.
• Adjuntos y enlaces en correo. Documentos con macros o ficheros comprimidos que ejecutan el malware al abrirse.
• Falsos instaladores de videojuegos, mods o herramientas gratuitas, especialmente en equipos personales que luego se usan para trabajar.

Ese último punto es la pesadilla de cualquier pyme sin política de dispositivos: el empleado se infecta en casa y, al iniciar sesión en el correo corporativo o el panel de la web desde ese mismo navegador, entrega tus credenciales.

Del log al ataque real

Lo verdaderamente peligroso de RedLine no es la infección, sino lo que ocurre después. Los logs robados se agregan y se revenden, y de ahí nacen incidentes mucho mayores. Un caso frecuente es el robo de credenciales de agencia: basta que un stealer comprometa el equipo de un empleado de una agencia web para que un único login termine exponiendo decenas de sitios de sus clientes. RedLine no suele ser el único protagonista; comparte terreno con familias más recientes como Lumma Stealer, con las que se reparten el mercado del robo de credenciales a pymes.

Cómo detectar y frenar RedLine

La defensa no depende de un único producto milagroso, sino de cerrar sus vías favoritas:

• Comprueba la exposición de tus cuentas en Have I Been Pwned y vigila la aparición de tus dominios en filtraciones.
• No guardes contraseñas en el navegador; migra a un gestor de contraseñas dedicado.
• Cierra e invalida sesiones ante cualquier sospecha, porque las cookies robadas siguen activas hasta que las revocas.
• Bloquea la instalación de software no autorizado y prohíbe los cracks en equipos con acceso a sistemas de la empresa.
• Separa el uso personal del profesional y aplica doble factor con app o llave física en todos los accesos críticos.

Para una respuesta más completa, INCIBE mantiene guías y avisos específicos sobre infostealers dirigidos a empresas. En PathSentinel investigamos estas cadenas de principio a fin, y atendemos también entornos exigentes como banca y tiendas con datos de tarjeta, donde un log de RedLine puede abrir la puerta a sistemas de pago. Si sospechas que alguno de tus equipos está comprometido, escríbenos por contacto.