Centroamérica.- ESETuna empresa líder en detección y análisis proactivos de amenazas un aficionadotambién conocido como ACR Stealer, un malware de tipo ladrón de información que se comercializa como Malware como servicio (MaaS). Su actividad en Latinoamérica ha crecido considerablemente hasta el momento 2026 y, durante el primer semestre del año, fue la familia de infostealers con más actividad, según detecciones de ESET.
Amatera no limita su actividad a América Latina, sino que se dirige a víctimas de todo el mundo. Su función es obtener datos como credenciales, cookies de sesión, tokens, billeteras de criptomonedas, información de mensajería, archivos e información de entornos de desarrollo. Una sola infección puede provocar secuestro de cuentas, fraude financiero, robo de criptoactivos o una intrusión posterior en la organización donde trabaja la víctima.
«Amatera es un ejemplo de cómo funciona el mercado de robo de información: sus desarrolladores mantienen el código, el panel y la infraestructura de soporte, mientras que los clientes o afiliados pagan una suscripción para usar el malware en sus propias campañas. Su actividad no se limita a un único canal de distribución, sino que puede propagarse a través de sitios comprometidos, anuncios, documentos falsos, correos electrónicos dirigidos y técnicas de ingeniería social como ClickFix». explica Mario Micucci, investigador de seguridad informática ESET Latinoamérica.
¿Qué es Amatera?
Amatera es un ladrón de información para Windows escrito en C++ que se observó por primera vez en 2024. Se distribuye bajo un modelo de malware como servicio (MaaS), mediante el cual sus desarrolladores mantienen el código, el panel y la infraestructura de soporte, mientras que los clientes o afiliados pagan una suscripción para usarlo en sus propias campañas.
Según diferentes empresas de seguridad, Amatera es un cambio de marca de ACR Stealer. Es decir, una versión actualizada del código que incluía un cambio de nombre. Se llega a esta conclusión debido a la similitud en el código de ambas familias de malware.
A finales de 2024, el nombre Amatera Stealer ya circulaba bajo un modelo de suscripción por $199 mensuales y con soporte a través de Telegram.
¿Qué información puede robar Amatera?
El objetivo de Amatera es obtener información valiosa fuera del equipo comprometido. Puede extraer credenciales almacenadas en navegadores, cookies, historiales, datos de formularios y tokens de sesión, así como buscar y extraer documentos y archivos confidenciales sincronizados con OneDrive o SharePoint. También puede buscar datos de billeteras de criptomonedas manipulando el portapapeles.
Diversos análisis públicos muestran que este malware se encuentra en constante desarrollo para mejorar sus capacidades y funcionalidades. También muestran que Amatera puede ser la carga útil final de cadenas muy diferentes, algo que encaja con un modelo MaaS en el que los afiliados eligen sus propios métodos de distribución.
¿Cómo se distribuye Amatera?
Las campañas públicas incluyen el uso de sitios web comprometidos, anuncios en motores de búsqueda, documentos falsos, correos electrónicos dirigidos, archivos SVG y ClickFix falsos. CAPTCHA
ClickFix es el patrón que más se repite en las campañas documentadas a nivel global. La víctima encuentra un mensaje que imita una verificación CAPTCHA, un error del navegador o una guía de instalación. El sitio le indica que copie y ejecute una instrucción en la computadora, lo que provoca que la víctima inicie una acción para iniciar los siguientes pasos.
Según datos de ESETdurante el primer semestre de 2025 las detecciones de ClickFix creció un 517% en comparación con el semestre anterior. La tendencia continuó durante la primera mitad de 2026, cuando las detecciones aumentaron un 108% en comparación con la segunda mitad de 2025.
Otro método utilizado para distribuir Amatera es a través de anuncios de Google. Una de las investigaciones antes mencionadas descubrió decenas de sitios falsos distribuidos a través de estos anuncios que se hacían pasar por herramientas de estafa. IA, como Claude Code, NotebookLM, JetBrains, Cline, Comet o Snowflake, y que se dirigieron específicamente a los desarrolladores que utilizan herramientas de inteligencia artificial.
Amatera en América Latina
En América Latina, los datos de ESET correspondiente al primer semestre de 2026 muestra que Amateur (Ganar/PSW.Amatera) Es el infostealer con mayor volumen de detecciones, por encima de otras familias como Formbook, Vidar, Snakestealer, Lummastealer y Rhadamanthys.
considerando que un aficionado es relativamente nueva y su actividad es global, su presencia en la región debe ser tenida en cuenta por los equipos de TI y ciberseguridad de las empresas, y también por los usuarios.
¿Qué riesgos conlleva una infección de Amatera?
Entre las posibles consecuencias de ser víctima de este infostealer se encuentran:
- Apoderarse de cuentas personales o corporativas utilizando contraseñas, cookies y tokens robados.
- Acceso no autorizado al correo, almacenamiento en la nube y documentos sincronizados.
- Robo de criptoactivos cuando se exponen billeteras, extensiones o frases de recuperación.
- Compromiso de la infraestructura a través de claves SSH, credenciales FTP o secretos de desarrollo.
- Instalación de otras piezas de código malicioso.
- Usar una cuenta comprometida para fraude, campañas internas de phishing o intrusiones posteriores.
El riesgo corporativo aumenta cuando la víctima mezcla perfiles personales y laborales en un mismo navegador. Una computadora doméstica puede contener sesiones de correo electrónico comerciales, consolas en la nube, repositorios de códigos o servicios de recursos humanos. La información robada se convierte entonces en una puerta de entrada que otro actor puede comprar o explotar días después.
¿Cómo prevenir y responder ante una infección de Amatera?
La prevención debe centrarse en el momento en que la víctima recibe la instrucción y en las herramientas que la ejecutan. Una guía de instalación o verificación de CAPTCHA legítima no le pide que copie comandos de una página a Ejecutar, PowerShell, Terminal o MSHTA. Los anuncios en los motores de búsqueda tampoco garantizan que un sitio sea oficial.
Entre las principales recomendaciones de ESET se encuentran:
Aplique reglas de control de aplicaciones y reducción de la superficie de ataque para limitar los intérpretes y los archivos binarios del sistema utilizados fuera de su contexto normal.
Supervise PowerShell, MSHTA, Rundll32, Python, WebDAV, tareas programadas inusuales y borrado del historial de PowerShell.
Utilice autenticación resistente al phishing y mantenga sesiones de navegador con la duración más corta compatible con el negocio.
Separe los perfiles personales y laborales y evite guardar secretos de alto impacto en el navegador cuando exista una alternativa administrada.
Filtrar sitios de nueva creación, páginas de instalación clonadas y descargas iniciadas a partir de publicidad cuando el contexto no lo justifique.
«En caso de infección confirmada, aislar el ordenador es sólo el primer paso. Desde un dispositivo de confianza, se deben revocar las sesiones activas, restablecer las contraseñas y rotar las claves API, tokens, credenciales SSH y otros secretos presentes en el sistema. También es necesario revisar el acceso al correo electrónico, a la nube, a los repositorios y a las aplicaciones financieras desde la fecha probable del compromiso», afirma Micucci.
En entornos corporativos la respuesta debe buscar movimientos posteriores y no limitarse al equipo inicial. Las campañas documentadas ejecutaron cargas útiles adicionales, crearon tareas programadas, eliminaron rastros y utilizaron herramientas legítimas del sistema.
Puede ser necesario reinstalar o reinventar el dispositivo, pero no sustituye la invalidación de los datos ya robados.
