NodeStealer ha regresado con un conjunto de herramientas más invasivo. Este programa de robo de información basado en Python ahora puede registrar pulsaciones de teclas, monitorear el texto copiado y capturar pantallas de las víctimas. Lo que antes era una infección para robar cuentas se ha transformado en un sistema de vigilancia continua, aumentando el riesgo para quienes acceden a banca, redes sociales o trabajo desde sus navegadores.

NodeStealer ha regresado con un conjunto de herramientas más invasivo. El robador de información basado en Python ahora puede registrar pulsaciones de teclas, vigilar el texto copiado y capturar las pantallas de las víctimas, convirtiendo una infección de robo de cuentas en una vigilancia continua.

Este cambio aumenta los riesgos para las personas cuyos navegadores contienen accesos laborales, bancarios o de redes sociales. Rastreado por primera vez en 2023, NodeStealer se centró inicialmente en datos sensibles del navegador y cuentas de Facebook.

Más tarde, amplió su interés a las cuentas de Facebook Ads Manager y a la información de tarjetas de pago. La actividad más reciente afectó principalmente a víctimas en Asia y América del Norte, siendo los servicios financieros el sector predominante, aunque la campaña afectó a diversas industrias.

Investigadores de Netskope identificaron la variante actualizada en agosto de 2026 y afirmaron que añade funciones de spyware junto a las características de robo anteriores.

Netskope indicó en un informe que los investigadores también encontraron indicios de que parte del nuevo código podría haber sido producido con asistencia de IA.

El informe no identifica un método de entrega inicial confirmado, por lo que debes evitar asumir que existe una única ruta de infección para tu organización.

Lo que está claro es el objetivo del malware tras su ejecución: recolectar suficientes credenciales, datos de sesión, detalles personales y contenido de pantalla para facilitar fraudes, suplantaciones de identidad o la toma de control de cuentas.

NodeStealer ahora puede registrar todo lo que escriben las víctimas

La adición más preocupante es un keylogger que utiliza la librería pynput de Python para monitorizar la entrada del teclado.

Guarda el texto capturado en un archivo temporal, lo envía al canal principal de mando y control de Telegram cada 120 segundos y luego borra el contenido del archivo. El registro está diseñado para continuar indefinidamente.

Esto puede exponer contraseñas, términos de búsqueda, datos de clientes, mensajes privados y otra información que introduzcas manualmente. La monitorización del portapapeles llena un vacío similar al recopilar texto plano copiado y pegado en el dispositivo.

Si has seguido las técnicas de captura de Snake Keylogger, reconocerás cómo esta combinación otorga a los criminales una visibilidad que va más allá de las credenciales guardadas en el navegador.

NodeStealer también toma una captura de pantalla cuando se ejecuta y otra antes de que finalice su función de captura, transmitiendo ambas imágenes a través de Telegram.

Una captura de pantalla puede revelar datos que nunca llegan al portapapeles o al teclado, incluyendo paneles de control, códigos de recuperación, documentos abiertos y conversaciones activas.

La separación del material robado en dos bots de Telegram también puede dificultar su interrupción. Un bot recibe un archivo con credenciales del navegador, contraseñas y bases de datos de cookies, mientras que el otro recibe datos específicos de Facebook.

Este enfoque se asemeja a otras operaciones de malware impulsadas por bots de Telegram que abusan de la infraestructura de mensajería legítima para las comunicaciones del atacante.

El robo de datos de Facebook se expande

Las muestras más recientes consultan más de 20 puntos finales de la API de Graph de Facebook, frente a los dos de versiones anteriores.

En lugar de limitarse a comprobar una cuenta, el malware busca una imagen detallada de la persona que la gestiona, abarcando detalles de identidad, contactos, intereses, publicaciones, páginas, activos publicitarios, registros comerciales, integraciones y datos relacionados con el inicio de sesión. Para las empresas que gestionan campañas publicitarias, el impacto puede extenderse más allá del perfil de un solo empleado.

El acceso a la información comercial y del Ads Manager podría ayudar a los atacantes a publicar anuncios no autorizados, robar presupuestos, atacar a colegas o realizar acercamientos de ingeniería social convincentes. El riesgo refleja el robo de cuentas publicitarias de Facebook reportado en otras campañas de malware.

Los analistas notaron un elemento aparentemente asistido por IA en las nuevas funciones: llamadas repetidas y estructuradas de forma similar, marcadas con etiquetas de emojis decorativos, un patrón ausente en el código anterior de NodeStealer.

Esa observación no es prueba de una herramienta o autor concreto, pero sugiere que los atacantes podrían estar acelerando el desarrollo de funciones rutinarias.

El malware también se distribuye como bytecode de Python compilado con campos de cabecera alterados, aparentemente destinados a ocultar su cronología de compilación y posiblemente a interferir con el análisis automatizado.

Tus equipos de seguridad deben asegurarse de que los flujos de inspección examinen el bytecode de Python incluso cuando sus metadatos parezcan incompletos o engañosos.

Debes tratar los archivos inusuales basados en Python, el acceso inesperado a datos del navegador, la recopilación persistente de pulsaciones de teclas y los archivos enviados a Telegram como señales de alta prioridad.

Reduce la exposición limitando el acceso de administrador, manteniendo actualizados los navegadores y las protecciones de endpoints, revisando las sesiones activas y advirtiendo a tu personal que no ejecute archivos adjuntos o descargas no confiables. Las recientes campañas de VIP Keylogger entregadas por phishing muestran por qué estos conceptos básicos siguen siendo importantes.

Si eres responsable de cuentas comerciales de Facebook, debes utilizar una autenticación multifactor fuerte, revisar las aplicaciones conectadas y vigilar cualquier cambio publicitario desconocido.

Dado que las cookies y los datos de sesión pueden ser valiosos para los atacantes, es importante revocar las sesiones rápidamente y restablecer las credenciales tras una sospecha de infección.

Estos pasos no pueden deshacer las capturas de pantalla robadas, pero pueden limitar el abuso posterior de la cuenta y reducir la probabilidad de un mal uso costoso.

Fuentes:
https://cybersecuritynews.com/nodestealer-record-everything/