Infostealers adaptan módulos para robar tokens de autenticación de clientes de escritorio de Telegram y Discord

1. Anatomía y Contexto: El Traslado del Entorno de Trabajo a Aplicaciones de Chat

El esquema de trabajo en startups, empresas de software, finanzas descentralizadas y proveedores de servicios de IT ha situado a Telegram y Discord como herramientas neurálgicas de comunicación. A través de ellas se coordinan despliegues de servidores, se brinda soporte a clientes y se gestionan bots administrativos.

Tradicionalmente, los infostealers se enfocaban en navegadores web. Sin embargo, detectaron una vulnerabilidad en los clientes de escritorio desarrollados con frameworks como Electron o Qt: almacenan archivos de sesión (como el directorio tdata en Telegram o Local Storage/leveldb en Discord) en la carpeta local de usuario (%APPDATA%) sin cifrado vinculado a hardware.

Al ejecutarse en un equipo tras una descarga involuntaria (señuelos de software, cracks o PDFs maliciosos), el infostealer extrae estos ficheros en 200 milisegundos. Sin requerir permisos de administrador ni disparar ventanas UAC, transmite los tokens al servidor C2. Los criminales importan la sesión en sus propias máquinas y asumen la identidad del usuario sin alertas de nuevo inicio ni solicitudes de código SMS.

"Los atacantes ya no requieren romper contraseñas. Sustrayendo los archivos de sesión locales de Telegram y Discord obtienen acceso legítimo inmediato a los canales internos de una empresa. Es el equivalente a robar la credencial física de un directivo dentro del edificio."

2. Arquitectura Técnica y Rutinas de Extracción en Memoria y Disco

La ingeniería inversa de las muestras más recientes de Lumma y Vidar revela una operativa sumamente rápida y efectiva:

• Extracción de Archivos tdata en Telegram Desktop: El malware ubica %APPDATA%\Telegram Desktop\tdata y extrae los binarios de configuración key_datas. Al clonar la carpeta en otro equipo, Telegram reconoce al cliente como una sesión activa sin requerir nuevo login.
• Captura de Tokens en Bases LevelDB de Discord: El script rastrea %APPDATA%\discord\Local Storage\leveldb buscando patrones alfanuméricos de tokens en base64 y los envía mediante Webhooks al atacante.
• Evasión de Defensas y Carga en Memoria: El código malicioso se inyecta en procesos legítimos del sistema operativo (Process Hollowing en explorer.exe), evitando escribir archivos sospechosos en disco para eludir antivirus tradicionales.
• Difusión Inmediata de Phishing Interno: Al asumir el control de la cuenta, bots automáticos envían mensajes a contactos y canales corporativos pidiendo pagos urgentes o distribuyendo nuevos archivos maliciosos hacia otros miembros de la empresa.

3. Análisis Financiero, FinOps y Retorno de Inversión (CapEx/OpEx)

El compromiso de cuentas de comunicación interna acarrea serios costos financieros y operativos:

• Pérdidas Directas por Fraude y Phishing Interno: Incidentes donde ciberdelincuentes secuestraron canales corporativos de Telegram o servidores de Discord para publicar enlaces maliciosos provocaron pérdidas directas de entre USD 120.000 y USD 900.000 por evento.
• Costes de Remediación Forense (OpEx): Contratar auditorías de respuesta a incidentes y peritaje forense para restablecer canales y certificar la desinfección insume entre USD 45.000 y USD 130.000.
• Retorno de Inversión (ROI) en Seguridad de Endpoints: Implementar soluciones EDR con bloqueo de acceso a bases de datos de aplicaciones y restringir canales de trabajo a plataformas empresariales administradas insume entre USD 6 y USD 12 por usuario al mes, evitando fraudes y arrojando un ROI del 390%.

4. Implicancias y Oportunidades para Empresas y PyMEs en Argentina y América Latina

En Argentina y la región, el uso de Telegram para coordinar ventas, soporte y operaciones es masivo en estudios contables, empresas logísticas y agencias de software de Buenos Aires, Córdoba, Rosario y Entre Ríos.

El peligro reside en el uso extendido de equipos personales (BYOD) o computadoras portátiles donde conviven actividades laborales y descargas no autorizadas. Si un empleado de una distribuidora en Paraná descarga software infectado, los delincuentes robarán las sesiones de mensajería y podrán desviar pagos o alterar presupuestos comerciales sin ser detectados.

Para los proveedores de IT locales, esto abre la oportunidad de brindar servicios de auditoría de sesiones activas, estandarización de equipos corporativos y concientización preventiva contra malware.

Las investigaciones forenses confirmaron que los infostealers también inspeccionan las claves de cifrado del subsistema de credenciales locales de Windows para obtener acceso a perfiles de navegadores secundarios y clientes de VPN. Una vez recopilada la información, los operadores del malware utilizan paneles web automatizados que categorizan a las víctimas por nivel jerárquico y facturación estimada de la empresa, priorizando el secuestro de cuentas de ejecutivos y administradores de sistemas para maximizar el beneficio económico de la intrusión.

Los peritos sugieren aislar las aplicaciones de mensajería dentro de contenedores virtuales o espacios de trabajo administrados para bloquear el acceso directo de procesos externos a los directorios de usuario.

5. Hoja de Ruta y Checklist de Implementación Técnica en 4 Pasos

1. Paso 1: Auditoría de Sesiones Activas en Clientes de Mensajería (Inmediato): Instruir al personal a revisar Ajustes > Dispositivos en Telegram y Discord, cerrando de inmediato cualquier sesión en equipos desconocidos o ubicaciones remotas sospechosas.
2. Paso 2: Activación de Contraseñas Locales y 2FA en la Nube (Día 1): Configurar una clave de bloqueo local en el cliente de escritorio y habilitar la contraseña de verificación en dos pasos en la nube, impidiendo que carpetas clonadas abran la sesión en otros equipos.
3. Paso 3: Restricción de Carpetas de Datos Mediante Reglas de Endpoint (Días 2-3): Desplegar directivas de seguridad para restringir el acceso a los directorios %APPDATA%\Telegram Desktop y %APPDATA%\discord, bloqueando la lectura por scripts o ejecutables no autorizados.
4. Paso 4: Capacitación Antifraude y Monitoreo Continuo (Continuo): Sensibilizar a los colaboradores sobre los riesgos de ejecutar software de procedencia dudosa y solicitar asistencia a los profesionales de Siglo 21 Soluciones para robustecer la seguridad en puestos de trabajo.