Conozca los 6 infostealers que más afectan a Latinoamérica en 2025

Durante 2025, los infostealers, malware especializado en el robo de información sensible como credenciales y datos financieros, han tenido un aumento significativo en su actividad, especialmente en países como Brasil, México y Argentina, según lo informó ESET, compañía de detección proactiva de amenazas.

Los infostealers son tipos de malware diseñados para robar información sensible de manera sigilosa, sin dejar rastro. Una vez que se infiltran en un sistema o red corporativa, capturan cualquier pieza de información que pueda ser útil para comprometer cuentas, escalar privilegios, facilitar otro ciberataque o comerciarla en mercados clandestinos. El mismo infostealer empaqueta la información robada y la envía a los servidores de los ciberatacantes, o a cuentas de mensajería instantánea con gran poder de anonimato, como Discord o Telegram.

“La actividad de infostealers en América Latina no solo creció en volumen, sino también en diversidad. Algunas familias tienen años de presencia sostenida, otras surgieron recientemente y ganaron protagonismo por su velocidad de evolución o por su integración con otros componentes maliciosos. Desde troyanos bancarios, como Amavaldo o Guildma (con gran actividad en Brasil), hasta RAT avanzados utilizados en ciberataques de gran calibre, como Agent Tesla, se destacan por operar de manera sigilosa, facilitando rápida la monetización de la información robada”, explicó Martina López, Investigadora de Seguridad Informática de ESET Latinoamérica.

De acuerdo con ESET, las familias más detectadas de infostealers en Latinoamérica durante la primera mitad de 2025 fueron: LummaStealer, Amadey, Rozena, Guildma, Formbook y Xloader.

1. LummaStealer

Es una amenaza surgida alrededor del 2022 que evolucionó rápidamente bajo el modelo de malware como servicio. Además de ser el infostealer más detectado por los sistemas de ESET –con más de 4.000 detecciones únicas solamente en 2025 en la región–, es de los más vendidos en los mercados clandestinos.

Lo que lo hace atractivo para los cibercriminales es su arquitectura modular, con un estilo plug-and-play, formado por un núcleo “base” con funciones esenciales (como la persistencia o comunicación con el servidor C&C) y módulos adicionales, que se pueden agregar o quitar según la necesidad del actor malicioso. Entre los módulos más utilizados están el keylogger, la exfiltración vía FTP, la ejecución de comandos remotos y más. Estos módulos pueden descargarse dinámicamente, activarse bajo ciertas condiciones o incluso cambiarse sin tener que recompilar toda la amenaza.

¿Cómo se distribuye? Al ser vendido, los posibles métodos de acceso inicial son altamente diversos: falsos instaladores de aplicaciones descargadas de sitios fraudulentos, malvertising, redes sociales, correos electrónicos infectados y, en campañas más complejas, se ha utilizado como payload final en equipos corporativos mediante loaders personalizados. Ha tenido alta actividad en México, Brasil y Argentina, participando en campañas contra empresas de todo tamaño y capacidad.

2. Amadey

Amenaza activa desde al menos 2018, que sigue siendo relevante por su capacidad de cumplir un doble rol, tanto como infostealer básico como de loader de otras amenazas más destructivas. Con casi 2.500 detecciones únicas en la región, es muy importante en el ecosistema del malware pues funciona como paso intermedio en cadenas de infección complejas y multi-etapa. Durante 2025, actuó con frecuencia como “puerta de entrada” en campañas que luego descargaron familias de ransomware o troyanos bancarios, aprovechando su ligereza y bajo nivel de detección.

¿Cómo se distribuye? Su distribución suele estar vinculada al malspam: correos electrónicos que intentan engañar al usuario con señuelos de tipo factura, multa o aviso bancario para inducirlo a descargar un adjunto malicioso o dar clic en enlaces a documentos infectados. También aparece como payload secundario, descargado por otros troyanos que comprometen inicialmente al sistema y luego lo utilizan como puente para nuevos ataques.

3. Rozena

Amenaza activa desde al menos 2015, que combina funciones de infostealer y backdoor. Destaca por su versatilidad y por su uso en campañas localizadas con objetivos específicos. Entre sus capacidades se incluye el robo de información sensible, como credenciales y datos del sistema, además de la posibilidad de establecer shells inversas utilizando PowerShell, lo que le permite al atacante tomar control remoto del sistema comprometido.

¿Cómo se distribuye? Principalmente, a través de archivos “benignos” descargables vía phishing en formato de documentos maliciosos de Office (habitualmente con macros o exploits) o ejecutables falsos. Uno de los aspectos más relevantes en la actividad reciente de Rozena es su comportamiento fileless,  lo que implica que el código malicioso no necesariamente se guarda como archivo en el disco, sino que puede ejecutarse directamente en memoria, ya sea a través de macros, scripts o shellcode inyectado. Este enfoque reduce la huella en el sistema, lo que lo convierte en una opción atractiva para campañas que priorizan el sigilo y la persistencia.

4. Guildma

Forma parte del ecosistema de troyanos bancarios originados en Brasil y ha estado activo durante varios años, con una evolución constante tanto en capacidades como en técnicas de distribución. Es una de las amenazas más representativas del malware financiero en América Latina. Si bien Brasil es su territorio principal, en los últimos años se han observado campañas dirigidas a usuarios en casi todos los países latinoamericanos. A nivel funcional, Guildma captura credenciales, monitoriza el teclado, toma capturas de pantalla y es capaz de interferir con sesiones bancarias en tiempo real. Su objetivo es robar información financiera y credenciales que permitan el acceso a cuentas bancarias de los usuarios afectados. Simula clics, manipulando formularios y adaptándose a las interfaces de entidades bancarias locales.

¿Cómo se distribuye? Su distribución es a través de campañas masivas por correo electrónico, donde utilizan señuelos variados: desde multas y facturas, hasta excusas que buscan generar curiosidad en la víctima. Los mensajes suelen incluir archivos adjuntos maliciosos o enlaces que conducen a la descarga de la amenaza.

5. Formbook

En el contexto regional, tanto Formbook como XLoader han sido detectados en campañas contra usuarios particulares y organizaciones, muchas veces mediante campañas de malspam, con archivos adjuntos ofuscados o enlaces a descargas directas. Formbook es una familia de malware con fines comerciales que circula desde 2016, con fuerte presencia global, incluyendo campañas activas en América Latina. Su bajo perfil y facilidad de uso hacen que siga siendo una herramienta vigente para atacantes menos sofisticados, pero igualmente efectivos. Su enfoque principal es el robo de información, particularmente credenciales, a través de formularios web, capturas de teclado y exfiltración de datos desde navegadores y clientes de correo electrónico. También tiene capacidades para realizar capturas de pantalla y recolectar detalles del sistema comprometido.

¿Cómo se distribuye? Originalmente, como malware como servicio en foros clandestinos. Formbook se caracteriza por ser liviano, accesible y eficaz, atractivo para atacantes que participan en la compraventa de amenazas. Su modo de distribución depende de sus compradores, aunque las campañas de correos con adjuntos son las más vistas.

6. Xloader: Es una versión actualizada y evolucionada de Formbook, que amplía sus funcionalidades y cambia la estrategia de distribución. A diferencia de Formbook, que se dirigía a sistemas Windows, XLoader sumó variantes capaces de atacar sistemas macOS, ampliando el espectro de objetivos. Además, añade mejoras en persistencia y técnicas antidefensas.

¿Cómo se distribuye? Se ha comercializado como un sucesor más robusto, con mayor foco en campañas distribuidas a través de correos maliciosos, documentos infectados y sitios fraudulentos.

“La evolución y proliferación de los infostealers reflejan el panorama global de amenazas, cada vez más sofisticado y con alta capacidad de adaptación. Su operación bajo modelos como malware-as-a-service (MaaS) los convierte en un riesgo constante para usuarios y empresas, que se amplifica cuando son utilizados como vectores iniciales en ataques más complejos, como ransomware o espionaje corporativo. Ante este escenario, se vuelve cada vez más evidente la necesidad de detección proactiva, inteligencia de amenazas y respuesta coordinada”, concluye Martina López de ESET Latinoamérica.