RedLine Stealer: exposición por malware en 2021

Los campos de datos verificados en el registro de RedLine Stealer son las direcciones de correo electrónico, los nombres de usuario y las contraseñas. Cuando estos tres datos aparecen juntos, los atacantes pueden dirigirse no solo contra una cuenta, sino también contra otros servicios en los que se utilicen el mismo nombre de usuario y la misma contraseña. No se incluyen en la descripción otros campos, como números de teléfono, direcciones físicas, información de pago o documentos de identificación, porque no están verificados. La contraseña es el elemento más sensible de este registro, ya que las credenciales de acceso que pueden utilizarse en texto plano o probarse directamente debilitan rápidamente la seguridad de la cuenta.

El malware similar a RedLine puede generar riesgos a través de las credenciales guardadas en el navegador, los datos de sesión y la información de las cuentas que introduce el usuario. Por tanto, esta entrada no debe considerarse simplemente una antigua lista de contraseñas en circulación. Si quedan restos de malware en el dispositivo afectado, el mismo riesgo puede reaparecer aunque el usuario establezca una contraseña nueva. Esta entrada exige revisar tanto las contraseñas de las cuentas como la seguridad del dispositivo.

Los usuarios afectados deberían proteger primero sus cuentas de correo electrónico y después cambiar las contraseñas de todos los servicios importantes en los que utilicen el mismo nombre de usuario o correo electrónico. No es seguro reutilizar la misma contraseña con pequeñas modificaciones en otras cuentas. Conviene revisar primero el correo electrónico, la banca, el almacenamiento en la nube, las cuentas de trabajo, las redes sociales, las plataformas de videojuegos y los sitios de compras. Se debería activar la autenticación de dos factores, cerrar las sesiones desconocidas y actualizar la información de recuperación de las cuentas.

Es necesario realizar una limpieza exhaustiva del dispositivo. Se debería analizar con un software de seguridad fiable, actualizar el sistema operativo y el navegador, eliminar las aplicaciones sospechosas y revisar las extensiones del navegador. También se deberían cambiar las contraseñas guardadas en el navegador, comprobar los datos de autocompletado y cerrar las sesiones activas de las cuentas sincronizadas. En las cuentas de correo electrónico, conviene examinar especialmente las reglas de reenvío, los filtros automáticos y los permisos de las aplicaciones de terceros.

Para las instituciones, la detección de RedLine Stealer señala el riesgo de filtraciones de credenciales causadas por malware en los dispositivos de los empleados. Si se ven afectadas direcciones de correo electrónico del dominio corporativo, se deberían investigar las ubicaciones inusuales, los intentos fallidos frecuentes de inicio de sesión, los registros de nuevos dispositivos y las actividades de sesión inesperadas que aparezcan en los registros del proveedor de identidad. Para los usuarios críticos, se puede considerar la aplicación conjunta del restablecimiento de contraseñas, el cierre de sesiones, la autenticación multifactor, el análisis de seguridad de los dispositivos finales y el aislamiento de los dispositivos.

La filtración de datos de RedLine Stealer debe tratarse como una prioridad alta debido a la presencia verificada de direcciones de correo electrónico, nombres de usuario y contraseñas. Cuando los usuarios vean este aviso, no deberían limitarse a cambiar la contraseña de un único servicio: deberían dejar de reutilizar contraseñas entre sus cuentas, limpiar sus dispositivos y reforzar la seguridad de su cuenta de correo electrónico. La defensa más eficaz consiste en combinar contraseñas únicas, autenticación de dos factores, control de sesiones y análisis en busca de malware.

A diferencia de otras recopilaciones de registros de malware que roba información, el registro de RedLine Stealer también incluye el nombre de usuario entre las categorías de datos verificadas. El nombre de usuario puede facilitar la vinculación de la identidad que una persona utiliza en foros, videojuegos, redes sociales o herramientas de trabajo. Cuando la dirección de correo electrónico, el nombre de usuario y la contraseña aparecen juntos, al atacante le resulta más fácil tanto intentar inicios de sesión automatizados como preparar mensajes de phishing más convincentes. Por ello, el registro exige no solo cambiar las contraseñas, sino también verificar la identidad de las cuentas y la seguridad de los dispositivos.

En el contexto de malware como RedLine, cobra importancia el enfoque de las organizaciones respecto a la seguridad de los dispositivos finales. Si se ve afectada la cuenta de un empleado, un cambio de contraseña centralizado puede no ser suficiente; se debería comprobar si en el dispositivo hay malware persistente, aplicaciones sospechosas o extensiones del navegador no autorizadas. Para los usuarios críticos, se deberían renovar los tokens de sesión, aplicar políticas de acceso condicional y revisar también las descargas de datos o los accesos a paneles de administración inesperados.