Matriz de amenazas: Vectores de malware, objetivos y nivel de gravedad
En los últimos años, los atacantes han sustituido los típicos virus de rescate por ladrones de información (Info-Stealers como Lumma, RedLine o Vidar) camuflados en cracks y repacks de juegos. Estos programas maliciosos no bloquean tus archivos: tardan menos de 15 segundos en robar silenciosamente tus credenciales y sesiones web, dejando obsoleta la autenticación en dos pasos (2FA).
| Vector de distribución | Táctica de evasión antivirus | Objetivo principal | Mecanismo de elusión del 2FA | Gravedad |
|---|---|---|---|---|
| Archivos ZIP con contraseña | Impide el análisis en la nube y el escaneo en sandbox de los motores antivirus | Bases de datos SQLite de navegadores (Cookies y contraseñas) | Roba cookies de sesión activas; el atacante entra a tus cuentas sin necesidad de contraseñas ni códigos 2FA | Crítica |
| Falsos parches de traducción / DLL | Instruyen al usuario a "desactivar el antivirus por falsos positivos" | Archivos de autenticación de Steam (ssfn* y config.vdf) | Copia los identificadores de equipo de confianza, saltándose Steam Guard por completo | Crítica |
| Sitios clonados de repacks | Suplantación de dominios reconocidos, uso de certificados robados | Sesiones de Discord, Telegram y monederos cripto | Reemplaza archivos del cliente para enviar tokens a un canal de control C2 | Alta |
| Herramientas de trucos / Trainers | Piden permisos de administrador para inyectar controladores | Claves maestras DPAPI del sistema operativo | Descifra en segundos todas las contraseñas y tarjetas guardadas en navegadores | Fatal |
Por qué el 2FA en el móvil no te protege del robo de sesiones
Muchos jugadores confían ciegamente en Steam Guard o Google Authenticator sin comprender cómo funcionan las sesiones web:
- Al marcar "Recordar este equipo", el servidor genera una cookie o token de sesión autenticado.
- El malware obtiene la clave de descifrado local mediante la API de protección de datos de Windows (DPAPI).
- Envía tus bases de datos de cookies al servidor del atacante.
- El ciberdelincuente inyecta esas cookies en su propio navegador. Para el servidor de Steam o Google, se trata de una conexión activa ya verificada, por lo que nunca solicitará el código del móvil.
Plan de emergencia ante una infección sospechosa
Paso 1: Desconexión física e invalidación masiva de sesiones
- Desconecta el cable Ethernet y apaga el Wi-Fi de inmediato para cortar la exfiltración.
- Desde un móvil limpio que utilice datos móviles:
- En Steam: ve a Detalles de la cuenta -> Administrar Steam Guard -> Desautorizar todos los demás dispositivos.
- En Google, Discord y correo electrónico: entra a seguridad y pulsa Cerrar sesión en todos los dispositivos. Cambia de inmediato las contraseñas principales.
Paso 2: Revocar claves API de Steam no autorizadas
- Entra a
https://steamcommunity.com/dev/apikey. - Si ves un dominio registrado que tú no has creado, pulsa de inmediato Revocar mi clave de la API web de Steam. De lo contrario, los estafadores interceptarán tus intercambios de cromos y skins.
Paso 3: Desinfección mediante arranque en frío
- Arranca el equipo mediante un medio de rescate USB de confianza (como Kaspersky Rescue Disk) para erradicar troyanos residentes en el registro antes del inicio de Windows.