¿Cómo protege la Exposición por Infostealer a su empresa?
La Exposición por Infostealer detecta cuándo hay máquinas comprometidas por malware infostealer y los datos robados de ellas se comparten en la Deep y la Dark Web. Cuando un log de malware contiene credenciales o accesos relacionados con sus activos monitoreados, la Plataforma Axur registra una detección en la pestaña Infostealer del workspace de Fuga de Datos, con la evidencia y el contexto de la fuente.
En lugar de mostrar solo una credencial filtrada, cada detección apunta a la máquina y al log de malware de donde se robaron los datos. Esto ayuda a sus equipos de seguridad y de fraude a:
Identificar dispositivos infectados e identidades comprometidas – Ver qué máquina fue infectada y qué credenciales, cookies y otros datos se recolectaron de ella;
Investigar la exposición – Verificar cómo, cuándo y desde qué máquina se robaron los datos, usando la evidencia original;
Contener el compromiso – Tratar la máquina infectada (por ejemplo, con antivirus o reinstalación), además de restablecer las contraseñas;
Identificar patrones de infección – Comparar detecciones por familia de malware, fuente y máquina.
¿Qué empresas se benefician de este monitoreo?
Cualquier organización preocupada por el robo de credenciales y sesiones corporativas desde máquinas infectadas puede beneficiarse, especialmente aquellas que:
Quieren saber cuándo malware robó credenciales o sesiones de empleados, y desde qué dispositivo;
Necesitan apoyar a los equipos de SOC, de gestión de identidades y accesos y de fraude en el bloqueo de máquinas y cuentas comprometidas;
Utilizan herramientas de terceros o plataformas SaaS y quieren visibilidad sobre las credenciales robadas para esos inicios de sesión;
Quieren identificar dispositivos personales o no autorizados que acceden a sistemas corporativos.
¿En qué se diferencia la Exposición por Infostealer de otros productos de Axur?
Exposición por Infostealer
Restringida a datos recolectados por malware y compartidos en el formato original (el log del stealer).
Ofrece una visión más profunda de la exposición, utilizada para identificar y tratar la máquina infectada y para identificar el posible origen de la infección.
Exposición de Credenciales
Tiene un alcance más amplio: detecta credenciales en distintos formatos, como combolists y volcados de bases de datos.
Se enfoca en la velocidad de entrega y en el tratamiento de las credenciales (restablecimiento de contraseña, bloqueo de cuenta y similares).
Menciones en filtraciones de datos
Identifica información corporativa confidencial en fugas de ransomware y archivos filtrados.
Threat Hunting
Permite que los analistas busquen manualmente en los datasets de inteligencia de Axur indicadores relacionados con investigaciones específicas.
Varias credenciales detectadas en la pestaña Credenciales pueden no tener una detección correspondiente en la pestaña Infostealer. La mayoría de las credenciales se comparte en formatos como combolists (url:login:pass, login:pass) o tablas CSV. Estos formatos no se consideran logs de malware y las credenciales no se listan como detecciones de infostealer, aunque un infostealer las haya recolectado.
Reglas de detección
Activo monitoreado | Qué se compara |
Dominio | El dominio de correo electrónico de la credencial robada. Para ormus.com, una credencial [email protected] coincide independientemente del sitio donde se usó. La coincidencia es exacta y distingue mayúsculas de minúsculas. |
Página de Login de Terceros | El host o dominio de acceso de la credencial robada. Solo se monitorean los activos aprobados. |
Dirección IP | La dirección IP de la máquina infectada. |
Rango de IP (CIDR) | Una máquina infectada cuya dirección IP está dentro del rango. |
Una credencial con un correo de otro dominio (por ejemplo, [email protected] ) usada en su sitio web no coincide con un activo de tipo Dominio.
El activo coincidente se muestra en la columna Activos de la detección.
Información disponible en una detección
La cantidad de datos de cada detección depende de la familia de malware, del actor de amenaza y del formato en que se publicó el log, por lo que no toda la información está presente en todas las detecciones. Una detección puede incluir:
Malware – Familia, distribuidor, ruta donde se almacenó el malware, fecha de carga del log;
Sistema – Sistema operativo, nombre de la máquina, cuenta de usuario, información de hardware, software instalado, antivirus, configuración regional;
Red – Dirección IP , ubicación geográfica, proveedor de internet (ISP);
Datos del navegador – Cookies, credenciales (URL, login y contraseña), datos de pago, datos de autocompletado/formularios, procesos en ejecución;
Archivos en disco – Archivos en ubicaciones comunes, archivos de configuración local de aplicaciones, archivos de billeteras de criptomonedas;
Capturas de pantalla;
Fuente – URL o canal donde se publicó la fuga, fecha de publicación, autor (cuando está disponible).
Familias de malware
Axur procesa varias familias de malware comunes y se agregan nuevas a medida que aparecen. Familias actualmente soportadas:
Acreed
ArechClientV2
Astris
AuraStealer
Lumma Stealer
MacSync
Phemedrone
Raccoon Stealer
Raven
Redline Stealer
Remus
Rhadamanthys Stealer
RisePro Stealer
Stealc Stealer
Stealerium
Vidar Stealer
WhiteSnake
XFiles
Cuando una familia aún no es conocida, el log se detecta de todas formas, sin una familia asignada.
Logs duplicados
Los logs de infostealer no se deduplican, porque una nueva detección puede significar que la máquina sigue infectada o fue infectada nuevamente. Sin embargo, si un archivo recolectado tiene exactamente el mismo contenido que un archivo ya procesado, se descarta antes de la ingesta. Por ejemplo, cuando el mismo archivo .zip se comparte en dos canales de Telegram, solo se procesa el primero.
Fuentes monitoreadas
Telegram
Foros de la Deep y Dark Web
Páginas web de grupos de actores de amenaza
Fuentes adicionales monitoreadas por el equipo de Threat Intelligence de Axur
Cómo configurar su monitoreo
La Exposición por Infostealer utiliza sus activos de Fuga de Datos. El monitoreo se habilita por activo en Configuraciones de monitoreo > Gestión de activos. Activos soportados:
Dominio
Página de Login de Terceros
Dirección IP
Rango de IP (CIDR)
Acceda a Configuraciones de monitoreo > Gestión de activos y abra la pestaña Riesgo Digital.
Haga clic en el activo que desea monitorear (por ejemplo, un activo de tipo Dominio). Se abre la página de edición del activo.
En la sección Configuración de monitoreo, en Filtración de Datos, active Exposición por Infostealer.
Haga clic en Guardar activo.
Detecciones históricas
Los logs de infostealer están disponibles desde el lanzamiento de la funcionalidad (abril de 2026). Los logs recolectados antes de esa fecha no están disponibles, y habilitar el monitoreo en un nuevo activo no crea detecciones para logs procesados antes de habilitarlo.
Conceder acceso a las detecciones
Las detecciones de infostealer contienen información sensible sobre máquinas infectadas, por lo que el acceso se controla por usuario. Los gerentes pueden habilitar o deshabilitar el acceso de cada usuario.
Haga clic en el ícono de Configuración (engranaje) y seleccione Mi equipo.
Busque el usuario que desea actualizar, haga clic en los puntos suspensivos (tres puntos) y seleccione Editar.
En los permisos, habilite o deshabilite el permiso Infostealer.
Infostealer está habilitado por defecto. Si el acceso de un usuario a las detecciones de Fuga de Datos está restringido a tipos de detección específicos, Infostealer debe estar seleccionado en esa lista para que el usuario vea las detecciones de Infostealer.
Gestión de detecciones
Las detecciones están disponibles en la pestaña Infostealer del workspace de Fuga de Datos.
La tabla muestra, por defecto, estas columnas: Fecha de creación, Estado, Activos, ID de hardware, Dirección IP del computador, Nombre de host del equipo, Nombre del Sistema Operativo y Tags. Use Exportar a CSV para exportarlas.
Cómo investigar la evidencia de una detección
Cada detección representa una máquina infectada y los datos que el malware robó de ella. El panel lateral reúne todo lo que Axur pudo extraer del log, para que pueda responder cuatro preguntas: quién fue afectado, qué dispositivo fue infectado, qué fue expuesto y cómo/cuándo salieron los datos.
Al hacer clic en una detección, se abre un panel lateral con sus detalles, organizados en tres pestañas:
Detalles: la información sobre la detección, la máquina y el log original;
Notas: Permite agregar sus propias notas a la detección, por ejemplo, el número del ticket, el responsable de la investigación o las acciones realizadas;
Historial de eventos: el registro de cambios de la detección, que muestra qué se modificó a lo largo del tiempo.
La cantidad de datos varía según la familia de malware y el formato en que se publicó el log, por lo que algunos campos pueden estar vacíos ("-"). Use las siguientes secciones de la pestaña Detalles para construir su análisis:
Resumen: ID de la detección, estado, fechas, activo coincidente, tags. El campo Activos muestra cuáles de sus activos monitoreados coincidieron, para que sepa si la exposición involucra su dominio, una página de login de terceros o una dirección IP. Las fechas ayudan a construir la línea de tiempo entre la publicación de la fuga y su detección;
Registros: Lista los datos robados de la máquina, por tipo. Es el núcleo de la investigación, vea Investigar los registros más abajo;
Malware: familia del stealer, distribuidor del malware y ruta del ejecutable del stealer. Use la familia y el distribuidor para entender la amenaza y reconocer campañas repetidas entre detecciones. Use la ruta del ejecutable como indicador para buscar y eliminar el malware en el dispositivo (por ejemplo, en su consola de EDR o de antivirus);
Máquina: hardware ID, hostname, IP , dirección MAC, CPU, GPU, RAM, disco y tamaño de pantalla. Use el hostname, la IP y la dirección MAC para ubicar el dispositivo en su inventario de activos, EDR o MDM. Cuando la máquina no está en su inventario, los detalles de hardware ayudan a identificar si es un dispositivo personal o no autorizado que accede a recursos corporativos (Shadow IT);
Sistema operativo: nombre y versión del SO, usuario, indicador de administrador, idioma, teclado, zona horaria, antivirus instalados y fecha de instalación. El usuario del SO ayuda a identificar a la persona afectada, el indicador de administrador muestra cuánto control pudotener el malware, y el antivirus instalado muestra qué protección existía y no detuvo la infección;
Geolocalización: país, región y ciudad de la máquina. Compare con la ubicación esperada del usuario para detectar dispositivos inesperados;
Archivo: nombre, tamaño y paquete de origen del archivo comprimido donde se encontró el log. Útil para correlacionar varias detecciones que provienen del mismo paquete y para validar la evidencia en el archivo original;
Fuente: dónde se publicó la fuga y cuándo (nombre, URL y fecha de exposición en la fuente). Use la fecha de exposición para estimar durante cuánto tiempo los datos han estado disponibles para los delincuentes y priorizar su respuesta;
Mensaje: para fugas compartidas en aplicaciones de mensajería como Telegram, los detalles del mensaje y del chat (nombre y tipo del chat, autor, fecha). Muestra el contexto y el alcance de la distribución del log;
Carpeta: la carpeta dentro del paquete que corresponde a esta detección. Un paquete puede contener miles de logs, cada uno de una máquina distinta, y cada detección apunta a una sola carpeta;
Fuga y Mega: detalles de la fuga, generados solo cuando la detección proviene de esas fuentes;
Otra información: identificadores adicionales de la detección.
Investigar los registros
La sección Registros lista todos los tipos de registro: Credenciales, Tarjetas de crédito, Cookies, Autocompletado, Programas, Procesos y Archivos. Los tipos con registros muestran un enlace Ver tabla; los demás muestran "-". Cada tipo responde a una pregunta distinta:
Credenciales (URL, login y contraseña): muestran qué cuentas y servicios fueron expuestos, incluidos sistemas corporativos y herramientas de terceros. Úselas para definir qué contraseñas deben restablecerse y qué cuentas revisar;
Cookies: las cookies de sesión pueden permitir que un atacante acceda a una cuenta sin la contraseña. Invalide las sesiones de las cuentas expuestas, aunque la contraseña ya haya sido cambiada;
Autocompletado: datos guardados en formularios del navegador, como nombres, direcciones, teléfonos y otros identificadores. Muestra qué información personal del usuario está expuesta;
Tarjetas de crédito: datos de pago guardados en el navegador, cuando están presentes. Permiten bloquear las tarjetas afectadas;
Programas: aplicaciones instaladas en la máquina. Ayudan a identificar si el dispositivo ejecuta software no autorizado y cómo pudo haber comenzado la infección;
Procesos: programas en ejecución en la máquina cuando se recolectaron los datos. Ayudan a identificar el malware y otra actividad sospechosa en el dispositivo;
Archivos: archivos recolectados de la máquina, como documentos, archivos de configuración de aplicaciones (VPN, FTP , gestores de contraseñas, correo electrónico) y billeteras de criptomonedas. Verifique si contienen información corporativa sensible o credenciales de acceso que deban revocarse.
Para trabajar con los registros:
Ver: seleccione un tipo de registro para ver todos los registros de ese tipo encontrados en el log de malware. Una sola detección puede contener miles de registros;
Buscar: use el campo de búsqueda dentro de una lista de registros para encontrar valores específicos, por ejemplo su dominio, el nombre de un sistema corporativo o un nombre de usuario, en lugar de recorrer toda la lista;
Validar: para un registro, previsualice o descargue el archivo original donde se encontró, para compararlo con la evidencia sin procesar y confirmar la exposición antes de tomar una acción.
Acceso a archivos e investigaciones
Desde el panel lateral, usted puede:
Descargar un archivo individual;
Descargar el paquete original (el archivo comprimido completo asociado a la detección).
Los archivos permanecen disponibles durante un año después de la recolección, respetando los límites de uso de descarga y las restricciones legales. No se permite la descarga automatizada o masiva sin autorización.
Todos los archivos se proporcionan tal como se recopilaron y no han sido inspeccionados en busca de malware. Axur recomienda encarecidamente utilizar un entorno Sandbox durante la investigación.
¿Qué hacer después de una detección?
Identifique la máquina infectada usando la información de máquina, IP y hardware de la detección;
Trate la máquina (por ejemplo, con un análisis de antivirus o reinstalación) y bloquee su acceso a los sistemas corporativos;
Restablezca las contraseñas e invalide las sesiones de las cuentas expuestas;
Use el archivo original para validar la evidencia;
Agregue notas y actualice el estado para reflejar los avances.
API e Integraciones
Exposure API: las detecciones de infostealer están disponibles en la categoría infostealer de la Exposure API (búsqueda, conteo, estado, notas y tags). Consulte la Documentación de la API de Axur.
Feeds de integración: los feeds de tipo Infostealer están disponibles en la pantalla de API e Integraciones, en los modos Pull y Push. Consulte Feeds.
El Axur Data Connector para Splunk no está disponible para la Exposición por Infostealer.
Webhooks
Los Webhooks 2.0 (Feed Push) se configuran en la pantalla de API e Integraciones, usando un feed de tipo Infostealer. Consulte Feeds.
Notificaciones
Las alertas por correo electrónico para detecciones de infostealer aún no están disponibles. Están en desarrollo.
Safelist
La Exposición por Infostealer no cuenta con safelist.