Los ataques a navegadores se han vuelto mucho más peligrosos y organizados que antes. Una nueva amenaza llamada Stanley, descubierta en enero de 2026, demuestra lo grave que se ha vuelto el problema. Este kit de malware como servicio, con un precio de entre 2.000 y 6.000 dólares, realiza algo particularmente engañoso: muestra sitios web falsos a los usuarios mientras la barra de direcciones sigue mostrando la URL legítima.

Los ataques a navegadores se han vuelto mucho más peligrosos y organizados que antes. Una nueva amenaza llamada Stanley, descubierta en enero de 2026, demuestra lo grave que se ha vuelto el problema.

Este kit de malware como servicio, con un precio entre $2,000 y $6,000, hace algo particularmente engañoso: muestra sitios web falsos a los usuarios mientras la barra de direcciones sigue mostrando la URL legítima.

Está diseñado para robar credenciales de inicio de sesión e información financiera engañando a las personas para que crean que están visitando sitios reales.

Stanley apareció por primera vez el 12 de enero de 2026 en foros de cibercrimen en ruso bajo el alias del vendedor “Стэнли”.

Lo que hace que este kit sea especialmente preocupante es que el vendedor promete publicación garantizada en Chrome Web Store, lo que significa que la extensión maliciosa puede descargarse directamente desde la tienda oficial de Google.

El kit se disfraza como “Notely”, una aplicación de notas y marcadores, dándole una cobertura legítima mientras realiza ataques de suplantación de sitios web.

Investigadores de Varonis identificaron el kit tras analizar sus capacidades técnicas y métodos de distribución.

El equipo de seguridad descubrió que Stanley funciona a través de un panel de control basado en la web donde los atacantes seleccionan víctimas individuales y configuran reglas de secuestro de sitios.

Una vez elegido un objetivo, los operadores establecen una URL de origen (el sitio legítimo a secuestrar) y una URL de destino (la página de phishing del atacante).

La extensión intercepta cuando la víctima visita el sitio real y superpone un iframe a pantalla completa que contiene la versión falsa, mientras la barra de direcciones del navegador muestra el dominio legítimo.

Cómo Stanley infecta y controla a las víctimas

El mecanismo de infección se basa en permisos de extensiones del navegador que otorgan un control casi total sobre la actividad de navegación del usuario.

Una vez instalado, el código de Stanley se ejecuta en el momento más temprano posible durante la carga de la página, antes de que aparezca cualquier contenido legítimo.

La extensión utiliza la dirección IP de la víctima como identificador único, lo que permite a los atacantes apuntar a personas específicas e incluso correlacionar usuarios en múltiples navegadores y dispositivos.

Cada diez segundos, la extensión se comunica con el servidor de comando y control del atacante para recibir instrucciones actualizadas de secuestro.

Stanley implementa rotación de dominios de respaldo para garantizar su supervivencia incluso cuando las autoridades cierran el servidor principal.

Esto significa que la extensión cicla automáticamente a través de dominios alternativos para mantener el control operativo.

El kit ya ha comprometido a miles de usuarios, con el panel de comando y control mostrando las direcciones IP de las víctimas, su estado en línea y marcas de tiempo de la última actividad.

Las empresas deberían considerar políticas estrictas de lista blanca de extensiones, mientras que los usuarios individuales deben reducir las extensiones instaladas y examinar cuidadosamente las solicitudes de permisos.

El problema más profundo sigue siendo que los mercados de extensiones para navegadores aprueban las extensiones una vez y permiten actualizaciones en cualquier momento, lo que significa que actualizaciones maliciosas pueden colarse después de la revisión inicial.