El camino de los infostealers en el sistema operativo

Kaspersky ha publicado el estudio "Vías de propagación del malware: un análisis de la ubicación de infostealers en sistemas de archivos infectados", en el que analiza el camino que sigue el malware de robo de credenciales. Como sucede con todos los tipos de infecciones maliciosas, una vez más el eslabón más débil son los propios usuarios, primera causa de su propagación.

Así, la ubicación más frecuente (35%) de los cinco millones de registros de inforstealers encontrados en 2025 en la dark web fue la carpeta temporal de Windows. Kaspersky interpreta este dato como que las infecciones se producen cuando los usuarios ejecutan directamente archivos recién descargados. Es más, considera que muchas infecciones se relacionan con dos prácticas de riesgo: descargar software de fuentes no fiable y activar programas de forma ilegal.

La segunda ubicación señalada por la investigación de la compañía, aparecida en el 32% de los casos, es la carpeta C:\Windows\Microsoft.NET\Framework\. En este caso, se trata de técnicas de ataque más sofisticadas. Kaspersky explica que se asocia a "técnicas más sofisticadas, como la inyección de procesos y el denominado living off the land, mediante las cuales el malware aprovecha procesos legítimos del sistema para ocultar su actividad y evitar su detección".

Sergey Shcherbel, experto de Kaspersky Digital Footprint Intelligence, señala que "el comportamiento de los usuarios sigue siendo un factor clave detrás de muchas de estas infecciones. El elevado número de infostealers ejecutados desde carpetas temporales de descarga indica que los usuarios suelen abrir estos archivos inmediatamente después de descargarlos. En muchos casos, los atacantes no necesitan técnicas sofisticadas; simplemente necesitan convencer a alguien para que ejecute un archivo".