Underc0de

El mercado de ciberdelincuencia Russian Market se ha consolidado como una de las plataformas más populares para la compra y venta de credenciales robadas mediante malware ladrón de información (infostealers). Según un informe reciente de ReliaQuest, este mercado ruso ha experimentado un crecimiento significativo, especialmente tras la eliminación del conocido Genesis Market, que dejó un vacío importante en el panorama criminal.

Auge de Russian Market tras la caída de Genesis Market

Aunque Russian Market ha estado activo durante aproximadamente seis años, fue en 2022 cuando comenzó a ganar notoriedad. En 2025, su popularidad alcanzó nuevas alturas, en parte debido a la desaparición de Genesis Market, lo que impulsó a ciberdelincuentes a migrar hacia esta plataforma.

A pesar de que el 85% de las credenciales vendidas en Russian Market se "reciclan" de otras fuentes, su oferta de registros a precios bajos (desde $2 por archivo) y su facilidad de acceso lo han convertido en una referencia para los actores de amenazas.

¿Qué contiene un registro robado por malware infostealer?

Un registro de infostealer es un archivo (o conjunto de archivos) generado por un malware ladrón de información, y puede contener:

• Contraseñas de cuentas
• Cookies de sesión
• Datos de tarjetas de crédito
• Credenciales de carteras de criptomonedas
• Información del sistema del dispositivo infectado

Cada registro puede incluir docenas, e incluso miles, de credenciales, lo que multiplica exponencialmente el valor del botín. Posteriormente, estos datos robados se cargan en servidores controlados por ciberdelincuentes, y se revenden en mercados como Russian Market para su uso en ataques posteriores.

Enfoque en empresas: SaaS y credenciales SSO en la mira

Los malware infostealers se han vuelto una herramienta clave para los actores de amenazas que buscan acceder a cuentas empresariales. ReliaQuest destaca que:

• El 61% de los registros disponibles en Russian Market contienen credenciales SaaS de plataformas como Google Workspace, Zoom y Salesforce.
• El 77% de los registros incluyen credenciales SSO (Single Sign-On), lo que permite a los atacantes acceder a múltiples servicios con un solo conjunto de credenciales.

Citar"Las cuentas en la nube comprometidas permiten a los atacantes acceder a sistemas críticos y representan una oportunidad para el robo de datos confidenciales", explican los investigadores de ReliaQuest.

Lumma Stealer en declive, Acreed en ascenso

El informe también analiza la evolución de los malware infostealers predominantes en Russian Market. Hasta hace poco, Lumma Stealer dominaba el mercado, representando el 92% de los registros robados publicados en la plataforma.

Lumma tomó protagonismo tras el colapso de Raccoon Stealer, desmantelado por una operación de las fuerzas del orden. Sin embargo, recientemente, una operación policial global incautó más de 2.300 dominios asociados a Lumma, interrumpiendo significativamente sus actividades.

Aunque sus desarrolladores intentan reconstruir y reiniciar la infraestructura de Lumma, según Check Point, su presencia en el mercado ha disminuido, abriendo paso a nuevos actores.

Acreed: el nuevo infostealer que conquista Russian Market

ReliaQuest ha observado un rápido crecimiento de Acreed, un nuevo malware ladrón de información que ha ganado tracción tras el declive de Lumma. Según Webz, Acreed logró más de 4.000 registros robados en su primera semana de actividad en Russian Market.

Acreed funciona de manera similar a otros infostealers: roba información almacenada en navegadores como Chrome, Firefox y sus derivados, incluyendo:

• Contraseñas
• Cookies de sesión
• Billeteras de criptomonedas
• Datos de tarjetas de crédito

Vectores de infección: cómo operan los infostealers
Los métodos de distribución de malware infostealer más comunes incluyen:

• Correos electrónicos de phishing
• Campañas de ClickFix
• Publicidad maliciosa de software pirata
• Contenido en plataformas como YouTube y TikTok

Estas técnicas buscan engañar a los usuarios para que descarguen e instalen software malicioso que compromete sus dispositivos y datos.

Recomendaciones de seguridad

Para minimizar el riesgo de infección con malware infostealer y evitar que tus credenciales terminen en Russian Market, se recomienda:

• Evitar descargar software de fuentes no oficiales
• Utilizar soluciones de seguridad actualizadas
• Habilitar la autenticación multifactor (MFA)
• Educar a los empleados sobre amenazas de phishing y enlaces maliciosos

Fuente: https://www.bleepingcomputer.com/