REMUS Infostealer está evolucionando hacia una amenaza de identidad completa tipo Malware‑as‑a‑Service

El malware tipo infostealer tradicionalmente se centraba en robar contraseñas guardadas en el navegador o claves de criptomonedas. Sin embargo, la nueva generación de estas amenazas está evolucionando hacia algo más ambicioso: robar identidades digitales completas.

Investigaciones recientes indican que el REMUS infostealer ha pasado rápidamente de ser un ladrón de credenciales relacionado con Lumma a una plataforma estructurada de malware‑as‑a‑service (MaaS) capaz de capturar sesiones de navegador, tokens de autenticación e incluso datos asociados a bóvedas de gestores de contraseñas. El resultado es una amenaza capaz de transformar la infección de un solo equipo en un compromiso de cuentas corporativas en mucho menos tiempo que las familias de malware anteriores.

De Lumma Stealer a REMUS

REMUS tiene una fuerte relación técnica con Lumma Stealer, una conocida familia de malware dedicada al robo de información que se comercializa como servicio en foros clandestinos desde al menos 2022.

Investigadores de seguridad observaron campañas activas con REMUS a comienzos de 2026. El malware comparte múltiples técnicas con Lumma, como ofuscación de cadenas, comprobaciones para detectar máquinas virtuales y otras tácticas utilizadas para dificultar el análisis por parte de investigadores y herramientas de seguridad.

En lugar de reemplazar completamente a Lumma, REMUS parece representar una evolución o bifurcación del mismo ecosistema criminal. De hecho, ambas familias de malware han sido detectadas operando simultáneamente en campañas activas.

El paso hacia el malware comercializado como servicio

El análisis de foros clandestinos sugiere que REMUS se está desarrollando y distribuyendo como una operación MaaS comercial, lo que permite que distintos actores maliciosos lo utilicen en sus campañas.

Investigadores que analizaron discusiones en foros underground identificaron más de un centenar de publicaciones vinculadas a este ecosistema entre febrero y mayo de 2026.

Este modelo permite escalar la distribución rápidamente. Lo que antes podía ser una herramienta usada por un grupo pequeño ahora puede convertirse en una plataforma de robo de credenciales utilizada por múltiples actores a gran escala.

Un nuevo objetivo: los gestores de contraseñas

Uno de los cambios más preocupantes es que REMUS ahora puede apuntar a extensiones de gestores de contraseñas en el navegador.

Informes recientes indican que el malware puede recopilar datos relacionados con herramientas como:

• 1Password
• LastPass
• Bitwarden

La recolección se realiza desde áreas de almacenamiento del navegador como IndexedDB, donde las extensiones guardan datos cifrados o información operativa de sus bóvedas.

Aunque el cifrado de estos gestores sigue protegiendo gran parte del contenido, los atacantes pueden obtener metadatos, artefactos o información de sesión que ayuden a escalar el acceso o facilitar ataques posteriores.

Los expertos advierten que los gestores de contraseñas se han convertido en objetivos muy valiosos porque suelen contener credenciales para múltiples sistemas críticos, entre ellos:

• plataformas SaaS
• cuentas administrativas empresariales
• acceso a VPN
• infraestructura de desarrollo
• cuentas personales

Por eso, comprometer un solo equipo puede revelar muchas más identidades que el simple robo de contraseñas guardadas en el navegador.

Robo de sesiones y tokens que puede saltarse el MFA

Otra evolución importante en REMUS es su enfoque en robar sesiones activas y tokens de autenticación.

En lugar de limitarse a capturar contraseñas, los infostealers modernos intentan obtener:

• cookies del navegador
• tokens de autenticación
• sesiones activas de aplicaciones

Estos elementos representan estados ya autenticados. Por eso, los atacantes pueden reutilizarlos para acceder a servicios sin provocar un nuevo proceso de inicio de sesión, lo que en muchos casos evita que se active la autenticación multifactor (MFA).

Esto reduce drásticamente el tiempo entre la infección inicial y el acceso no autorizado a sistemas corporativos.

Infraestructura basada en EtherHiding

REMUS también introduce cambios en su infraestructura para dificultar su interrupción.

Investigadores informan que el malware utiliza EtherHiding, una técnica que almacena datos de configuración de comando y control dentro de contratos inteligentes en la red Ethereum.

En lugar de depender de dominios o servidores tradicionales, el malware puede recuperar instrucciones a través de mecanismos vinculados a blockchain. Dado que los registros en blockchain son descentralizados y difíciles de eliminar, esto complica los intentos de desmantelar la infraestructura maliciosa.

Comparación con la evolución de Gremlin Stealer

REMUS no es el único infostealer que está evolucionando rápidamente. Investigadores también han seguido de cerca el desarrollo del Gremlin stealer.

Una nueva variante de Gremlin ha incorporado técnicas avanzadas de evasión y ha evolucionado de un simple ladrón de credenciales a un kit modular de malware con nuevos módulos y mayor sigilo.

Investigadores de Unit 42 informan que algunas versiones recientes utilizan una utilidad de empaquetado que aplica virtualización de instrucciones, transformando el código original en un bytecode personalizado ejecutado por una máquina virtual privada. Este enfoque dificulta enormemente el análisis y la ingeniería inversa.

En términos simples:

• REMUS se orienta a robar identidades a gran escala mediante sesiones, tokens y datos de gestores de contraseñas dentro de un modelo MaaS.
• Gremlin está evolucionando hacia mayor sigilo y modularidad, centrado en evasión y técnicas anti‑análisis.

Ambos caminos muestran la misma tendencia general: los infostealers se vuelven más sofisticados, adaptables y difíciles de detectar.

La gran tendencia: la identidad como objetivo principal

El crecimiento de malware como REMUS refleja un cambio importante en las prioridades de los atacantes.

En lugar de centrarse únicamente en contraseñas, los infostealers modernos buscan capturar todo el entorno autenticado de un usuario: sesiones, tokens, credenciales almacenadas y otros artefactos de identidad.

La escala del problema ya es enorme. Análisis de seguridad indican que campañas de infostealers robaron aproximadamente 1.800 millones de credenciales en 2025, lo que muestra el tamaño del mercado clandestino de datos de autenticación robados.

Qué significa esto para la seguridad empresarial

La evolución de REMUS plantea varias implicaciones importantes para las organizaciones:

• Un compromiso de endpoint puede convertirse rápidamente en un compromiso de identidad.
• El MFA por sí solo ya no basta, ya que las sesiones y tokens robados pueden reutilizarse.
• Las bóvedas de credenciales se han convertido en objetivos prioritarios.

Por ello, las empresas necesitan cada vez más defensas que vayan más allá del simple cambio de contraseñas, incluyendo revocación de sesiones, controles de confianza del dispositivo, herramientas de detección y respuesta en endpoints (EDR) y monitoreo de comportamientos de autenticación anómalos.

Conclusión

REMUS demuestra la velocidad con la que está evolucionando el ecosistema de infostealers. Lo que comenzó como un ladrón de credenciales relacionado con Lumma ahora se perfila como una plataforma MaaS enfocada en robo de identidad digital y secuestro de sesiones.

Sumado a evoluciones paralelas en otras familias como Gremlin, la tendencia es clara: los atacantes ya no solo buscan contraseñas, sino acceso autenticado completo.

Para las empresas, esto significa que una infección aislada puede convertirse en un compromiso amplio de cuentas en cuestión de minutos u horas, en lugar de días.