MaaS (Malware-as-a-Service)

MaaS (Malware-as-a-Service)

Al menos 50 millones de dólares en daños, más de 300.000 ordenadores infectados en todo el mundo y 16 personas imputadas. Esas fueron las cifras que reveló el Departamento de Justicia de Estados Unidos el 22 de mayo de 2025 al desmantelar DanaBot, una de las plataformas de Malware-as-a-Service más activas del mundo. El día anterior, el 21 de mayo, Microsoft había anunciado otra operación global contra Lumma Stealer: unos 2.300 dominios maliciosos objeto de incautación, retirada, suspensión o bloqueo —de ellos, más de 1.300 incautados o transferidos a Microsoft— y 394.000 dispositivos Windows infectados en dos meses. Lo que esas dos actuaciones dejan ver del modelo es la desproporción entre lo que cuesta entrar y lo que alcanza: el Departamento de Justicia sitúa el alquiler de DanaBot en varios miles de dólares al mes, y la organización y sus usuarios acumularon más de 300.000 equipos infectados. El cibercrimen ya no requiere ser programador: requiere una suscripción y un canal de soporte en Telegram.

Definición técnica

MaaS (Malware-as-a-Service) es un modelo de negocio criminal que replica la estructura del software como servicio (SaaS) legítimo. Los desarrolladores de malware crean y mantienen el software malicioso, la infraestructura de comando y control (C2), los paneles de administración y las herramientas de exfiltración, y los clientes (otros criminales) pagan por acceso mediante suscripciones periódicas para ejecutar sus propias campañas.

Diferencia entre MaaS y RaaS:

Lo que consta en actuaciones policiales documentadas — cifras de la autoridad que las publicó, no estimaciones de mercado:

Cómo funciona el ecosistema MaaS

Tipos de malware vendidos como servicio

1. Infostealers (los más vendidos en 2024-2025)

Función: Robo automatizado de credenciales, cookies de sesión, datos de tarjetas, wallets de criptomonedas y archivos del dispositivo víctima.

Plataformas principales:

Ejemplo de panel Lumma Stealer:

Dashboard: 1,247 logs capturados hoy
├─ Credenciales bancarias: 312 (ES: 45, FR: 67, DE: 89)
├─ Cookies sesión activas: 578
├─ Wallets cripto: 89 (MetaMask: 34, Phantom: 22)
├─ Tarjetas credito: 156
└─ Archivos exfiltrados: 2.3 GB

Filtrar por: Pais | Banco | Exchange cripto | Tipo dato
Exportar: CSV | JSON | texto plano

2. RATs (Remote Access Trojans)

Función: Control remoto completo del dispositivo víctima (escritorio, webcam, micrófono, archivos, keylogger).

3. Loaders/Botnets

Función: Distribución de payloads secundarios. El loader infecta la máquina y luego descarga el malware final (stealer, ransomware, miner).

4. Banking Trojans

Función: Robo de credenciales bancarias mediante overlay attacks, interceptación de SMS y manipulación de sesiones web.

Familias como ERMAC, Godfather y Octo se distribuyen como MaaS para dispositivos Android; las cifras de alquiler que circulan por familia no tienen una fuente primaria fechada que las respalde. Ver: Troyano bancario.

Caso forense: investigación de campaña MaaS

Contexto: Empresa de e-commerce (85 empleados, facturación 12M EUR/año) sufre robo de credenciales de 23 empleados y exfiltración de base de datos de 45.000 clientes.

Timeline de la investigación:

Dia 0 - Deteccion:
  - SIEM alerta: 23 conexiones simultaneas a IP 91.215.XX.XX
  - Antivirus endpoint detecta: "Trojan.Generic.xxxxx" en 8 equipos
  - IT aisla equipos afectados y contacta perito forense

Dia 1-2 - Triaje forense:
  - Imagen forense de 3 equipos (FTK Imager)
  - Analisis memoria RAM (Volatility3): stealer activo en proceso svchost.exe
  - Identificacion malware: Lumma Stealer v4.2 (hash SHA256 coincide con IOC)
  - Panel C2: lumma-panel-[hash].xyz (registrado 3 dias antes del ataque)

Dia 3-5 - Reconstruccion vector entrada:
  - Analisis logs proxy: empleado #7 descargo "factura_proveedor.exe"
  - URL origen: resultado Google Ads fraudulento (malvertising)
  - Payload: Lumma Stealer empaquetado con PyInstaller
  - Propagacion: Lumma robo credenciales de red interna → movimiento lateral

Dia 6-8 - Analisis exfiltracion:
  - Lumma exfiltro via HTTPS a panel C2:
    - 23 pares credenciales corporativas (email, VPN, ERP)
    - 156 cookies de sesión activas (banco, proveedores)
    - Dump base datos MySQL: 45,000 registros clientes
  - Estimacion datos exfiltrados: 2.8 GB en 72 horas

Dia 9-10 - Atribucion y cierre:
  - Panel MaaS: interfaz Lumma Stealer confirmada
  - Precio suscripcion: ~250 USD/mes
  - Atacante probablemente afiliado de bajo perfil (no APT)
  - Informe pericial entregado (180 paginas)

Qué acaba costando, y dónde mirar para saberlo: la respuesta al incidente y el peritaje son la parte pequeña y la única que se factura; lo caro es la pérdida de clientes y el daño reputacional, que ninguna empresa cuantifica de forma comparable y por eso no se pone una cifra aquí. Lo que sí está tasado es la exposición sancionadora: una brecha por medidas de seguridad insuficientes va al tramo del art. 83.4 RGPD —hasta 10 M€ o el 2 % del volumen de negocio mundial, la mayor de las dos—, no al del 83.5, que es el de 20 M€ y el 4 % y cubre otras infracciones.

Operaciones policiales contra MaaS (2024-2025)

Operación Endgame — una operación por fases, no una fecha

Se cita a menudo como si fuera una única actuación, y son varias separadas por más de un año. Confundirlas data mal cada desmantelamiento, que es justo lo que un informe pericial no puede permitirse:

Participantes: EE. UU., Alemania, Países Bajos, Francia, Dinamarca, Ucrania, Reino Unido y Australia, coordinados por Europol y Eurojust, con apoyo de empresas privadas.

Operación Emotet: desmantelamiento (enero 2021) y reaparición (noviembre 2021)

Europol tituló su nota sobre el desmantelamiento World’s most dangerous malware EMOTET disrupted through global action —«el malware más peligroso del mundo», en traducción propia—. Originalmente un troyano bancario (2014), evolucionó a loader MaaS que distribuía TrickBot y Ryuk ransomware.

Timeline Emotet:

2014: Nace como banking trojan
2016-2019: Evoluciona a loader MaaS
2020: Resurgimiento masivo post-pausa
Ene 2021: operación coordinada por Europol contra la infraestructura (8 países)
Nov 2021: Emotet reaparece propagándose a través de equipos ya infectados por TrickBot
            (las 140.000 víctimas en 149 países que se citan a menudo aquí son de TrickBot,
             no de Emotet, según Check Point, 8-dic-2021)
2023: Nueva variante detectada
2025: La continuación de Operation Endgame (abril) dio cinco detenciones e interrogatorios,
            relacionados con clientes de SmokeLoader; Europol no registra una fase Emotet en 2025

DanaBot: anatomía de un MaaS desmantelado

Los dos principales acusados, Aleksandr Stepanov (alias JimmBee) y Artem Kalinkin (alias Onix), ambos de Novosibirsk (Rusia), permanecen prófugos. DanaBot operaba como MaaS con las siguientes características:

• Lenguaje: Delphi (modular)
• Precio: el Departamento de Justicia habla de varios miles de dólares al mes; la cifra de 500 USD como suelo circula en prensa especializada, no en la nota oficial
• Capacidades: Robo credenciales bancarias, secuestro sesiones, robo wallets cripto, keylogger, screenshots, exfiltración archivos
• Escala: Team Cymru observó más de 150 servidores C2 activos y víctimas en más de 40 países; sus cifras sobre la frecuencia de víctimas son incompatibles entre sí, por lo que no se fija un valor diario
• Clientes: múltiples afiliados con campañas simultáneas (las fuentes abiertas no acreditan «cientos»)

Marco legal español

Código Penal

Art. 264 ter CP — facilitación de herramientas para delitos informáticos, en su tenor literal:

«Será castigado con una pena de prisión de seis meses a dos años o multa de tres a dieciocho meses el que, sin estar debidamente autorizado, produzca, adquiera para su uso, importe o, de cualquier modo, facilite a terceros, con la intención de facilitar la comisión de alguno de los delitos a que se refieren los dos artículos anteriores: a) un programa informático, concebido o adaptado principalmente para cometer alguno de los delitos a que se refieren los dos artículos anteriores; o b) una contraseña de ordenador, un código de acceso o datos similares que permitan acceder a la totalidad o a una parte de un sistema de información.»

• Pena: 6 meses - 2 años de prisión o multa de 3-18 meses.
• «Los dos artículos anteriores» son el 264 (daños informáticos) y el 264 bis (obstaculización de sistemas): el 264 ter no castiga facilitar cualquier herramienta, sino la concebida para cometer esos delitos.
• Relevancia MaaS: alcanza al operador que produce y distribuye el malware, y también a quien lo adquiere para su uso — el verbo «adquiera para su uso» está en el tipo.

Art. 249.1 CP — estafa informática:

Si el malware MaaS se usa para fraude bancario o robo de credenciales con perjuicio económico.

• Pena base: 6 meses - 3 años prisión
• Agravante del art. 250.1.5.º (>50.000 EUR): prisión de 1 a 6 años y multa de 6 a 12 meses

Art. 197 CP - Descubrimiento de secretos:

Si el malware MaaS intercepta datos personales, correos, credenciales de las víctimas.

• Pena: prisión de uno a cuatro años y multa de doce a veinticuatro meses; la multa es preceptiva, no alternativa

Art. 264 CP - Daños informáticos:

Si el malware borra, daña, altera o hace inaccesibles datos ajenos. El tipo tiene tres exigencias que conviene no saltarse: sin autorización, de manera grave y que el resultado producido sea grave. No todo cifrado o borrado las cumple automáticamente.

• Pena: 6 meses - 3 años prisión

RGPD y obligaciones de la empresa víctima

Art. 33 RGPD: Si una campaña MaaS exfiltra datos personales de clientes, el responsable debe notificarlo a la AEPD sin dilación indebida y como máximo en 72 horas —salvo que sea improbable que haya riesgo— y a los afectados si el riesgo es alto (art. 34).

Art. 32 RGPD: La empresa debe demostrar que implementó medidas técnicas y organizativas «apropiadas» para garantizar un nivel de seguridad adecuado al riesgo —ése es el tenor del art. 32, y las dos palabras van en sitios distintos—. La ausencia de antivirus actualizado, EDR o formación en phishing puede considerarse negligencia.

Herramientas de investigación forense MaaS

Análisis de malware:

Investigación de infraestructura C2:

Detección en endpoint:

Coste pericial

El presupuesto de una pericia de MaaS depende del número de equipos, el alcance del análisis (sandbox, reversing), la adquisición, la atribución de infraestructura, el informe y la ratificación. Consulta los rangos vigentes en la página de precios; se facilita un presupuesto cerrado tras evaluar el caso.

FAQ

P: ¿Cuál es la diferencia entre MaaS y RaaS? R: RaaS (Ransomware-as-a-Service) es un subconjunto de MaaS especializado exclusivamente en ransomware, donde el afiliado paga un porcentaje del rescate en lugar de una suscripción fija. MaaS es el término general que engloba todo tipo de malware vendido como servicio: stealers, RATs, loaders, banking trojans. En la práctica, ambos ecosistemas están interconectados: un loader MaaS como Emotet distribuyó el ransomware RaaS Ryuk.

P: ¿Puedo ser víctima de MaaS como particular? R: Si. Los infostealers MaaS como Lumma o RedLine atacan indiscriminadamente. Si descargas software pirata, haces clic en anuncios maliciosos o abres adjuntos de phishing, tu dispositivo puede ser infectado. Los datos robados —contraseñas, cookies bancarias, wallets cripto— se venden en mercados de la dark web. Conviene saber que Genesis Market ya no existe: fue incautado en abril de 2023 en la Operación Cookie Monster. Europol informó de 119 detenciones y el DOJ, de la incautación de 11 dominios. Citarlo en presente en un informe es un flanco gratuito: la contraparte solo tiene que buscar la fecha.

P: Si la policía desmantela un MaaS, ¿estoy a salvo? R: Un desmantelamiento no garantiza la desaparición permanente de una familia, y los tiempos varían. Emotet fue desmantelado en enero de 2021 y reapareció diez meses después, en noviembre; Lumma Stealer fue incautado en mayo de 2025 y volvió poco después. La única protección sostenible es la defensa proactiva: EDR, actualizaciones, formación y monitoreo.

P: ¿Cómo se investiga forensemente una campaña MaaS? R: El análisis forense de MaaS sigue una metodología estructurada: (1) identificación del malware mediante análisis de muestras en sandbox, (2) extracción de indicadores de compromiso (IOCs: hashes, IPs, dominios C2), (3) reconstrucción del vector de entrada (email, web, USB), (4) evaluación del alcance de la exfiltración, (5) correlación con threat intelligence para identificar la plataforma MaaS específica.

Conceptos relacionados

• RaaS (Ransomware-as-a-Service) - Modelo de negocio criminal especializado en ransomware
• Troyano bancario - Tipo de malware frecuentemente distribuido como MaaS
• LockBit ransomware - Ejemplo prominente de RaaS desmantelado
• Botnet - Infraestructura utilizada por operadores MaaS para distribución

Referencias y fuentes

1. Departamento de Justicia de EE. UU. (USAO-CDCA). 16 Defendants Federally Charged in Connection with DanaBot Malware Scheme That Infected Computers Worldwide, 22 de mayo de 2025 — más de 300.000 equipos infectados, al menos 50 millones de dólares en daños y 16 acusados, en el marco de la Operación Endgame.
2. The Hacker News. (2025). “U.S. Dismantles DanaBot Malware Network, Charges 16 in $50M Global Cybercrime Operation”. thehackernews.com - Detalles operación y acusados
3. Microsoft. (2025). Disrupting Lumma Stealer: Microsoft leads global action against favored cybercrime tool. blogs.microsoft.com - unos 2.300 dominios objeto de incautación, retirada, suspensión o bloqueo; más de 1.300 incautados o transferidos; 394.000 PCs infectados
4. BleepingComputer. (2025). “Lumma infostealer malware operation disrupted, 2,300 domains seized”. bleepingcomputer.com - Detalles técnicos incautación
5. Europol. (2021). “World’s most dangerous malware EMOTET disrupted through global action”. europol.europa.eu - Desmantelamiento Emotet
6. Check Point. (2021). “Trickbot Rebirths Emotet: 140,000 Victims in 149 Countries in 10 Months”. blog.checkpoint.com - Resurgimiento Emotet via TrickBot
7. Kaspersky. “What is Malware-as-a-Service?” (IT Encyclopedia). encyclopedia.kaspersky.com - Definición y taxonomía
8. 8BitSecurity. “Top 5 Malware Sold on the Dark Web”. 8bitsecurity.com - la URL sirve hoy la versión actualizada a 2026; precios volátiles
9. GBHackers. (2025). “Rhadamanthys Stealer Offered on Dark Web for $299-$499”. gbhackers.com - Pricing tiers stealer
10. Europol. “Largest ever operation against botnets hits dropper malware ecosystem” — fase de mayo de 2024 contra IcedID, SystemBC, Pikabot, SmokeLoader, Bumblebee y Trickbot. europol.europa.eu
11. Europol. “End of the game for cybercrime infrastructure: 1025 servers taken down” — Rhadamanthys, VenomRAT y Elysium. europol.europa.eu
12. Europol. “Takedown of notorious hacker marketplace selling your identity to criminals” — incautación de Genesis Market, abril de 2023. europol.europa.eu
13. Código Penal: arts. 197, 248-250, 264, 264 bis y 264 ter. boe.es
14. RGPD: arts. 32, 33 y 34 (medidas de seguridad, notificación a la autoridad en 72 h y comunicación al afectado). eur-lex.europa.eu

Última actualización: 27 de agosto de 2026 Categoría: Malware Nivel técnico: Avanzado