Amatera (también conocido como ACR Stealer) se ha consolidado como el infostealer con el mayor volumen de detecciones en América Latina durante el primer semestre de 2026, según los reportes de telemetría de la firma de ciberseguridad ESET Latinoamérica.
Este flagelo binario fue diseñado para robar información sensible de equipos con Windows, tal como contraseñas, cookies de navegación, tokens de sesión, documentos, datos de mensajería, billeteras de criptomonedas y credenciales utilizadas en entornos de desarrollo.
Durante la primera mitad de 2026, Amatera fue la familia de infostealers con mayor cantidad de detecciones en América Latina, según ESET. Sin embargo, no es una amenaza exclusiva de la región: sus campañas también afectan a usuarios y organizaciones de otras partes del mundo.
El peligro de este tipo de malware está en el valor de la información que roba. Una sola infección puede permitir a los atacantes secuestrar una cuenta de correo, acceder a servicios empresariales, vaciar una billetera de criptomonedas, cometer fraudes financieros o preparar un ataque mayor contra una empresa. Muchas veces, los datos robados se venden o se reutilizan días o semanas después de la infección original.
Amatera apareció por primera vez en 2024 y está escrito en C++. Se distribuye bajo el modelo conocido como Malware as a Service o MaaS. Esto significa que sus creadores mantienen el malware, la infraestructura y el soporte técnico, mientras que otros delincuentes pagan una suscripción para utilizarlo en sus propias campañas. A fines de 2024, Amatera ya se ofrecía por unos 199 dólares mensuales e incluía soporte mediante Telegram.
Distintas empresas de seguridad consideran que Amatera es una versión renovada de ACR Stealer. A su vez, ACR Stealer habría sido una evolución de otro malware llamado GrMSK Stealer. Cambiar el nombre, actualizar el código y volver a comercializar una herramienta es una práctica habitual en el cibercrimen. Así, los operadores intentan dificultar el seguimiento de las investigaciones, mejorar sus productos o atraer nuevos clientes.
¿Qué tipo de datos roba Amatera?
Entre las capacidades de Amatera se encuentra el robo de credenciales almacenadas en navegadores, historial de navegación, cookies, datos de formularios y tokens de sesión. Las cookies y los tokens son especialmente peligrosos porque pueden permitir el acceso a una cuenta sin necesidad de conocer directamente la contraseña. También puede buscar documentos importantes, incluidos archivos sincronizados mediante OneDrive o SharePoint.
Además, algunos análisis señalan que Amatera busca información relacionada con criptomonedas. Por ejemplo, puede intentar obtener datos de billeteras digitales e incluso manipular el portapapeles, un recurso que usan muchos usuarios para copiar direcciones de criptomonedas. También puede encontrar claves SSH, accesos FTP, tokens de API y otros secretos usados por desarrolladores o administradores de sistemas.
Cómo se distribuye
Una de las razones por las que Amatera se ha expandido es la variedad de métodos que sus afiliados pueden usar para distribuirlo. Se han observado campañas con correos electrónicos dirigidos, documentos falsos, archivos SVG, sitios web comprometidos, anuncios en buscadores y páginas que imitan herramientas conocidas. Algunos ataques se hacen pasar por servicios de inteligencia artificial o programas para desarrolladores, como Claude Code, NotebookLM, JetBrains, Cline o Snowflake.
El método más repetido es ClickFix, una técnica de engaño que creció con fuerza desde 2024. En este caso, la víctima visita una página que muestra un falso CAPTCHA, un supuesto error del navegador o una guía de instalación. El sitio le pide copiar y ejecutar un comando en Windows, PowerShell u otra herramienta del sistema. Aunque parece una acción inocente para “verificar” que la persona no es un robot o corregir un error técnico, en realidad inicia la cadena de infección.
Las detecciones de ClickFix aumentaron de forma notable. Durante el primer semestre de 2025 crecieron un 517 % respecto del período anterior. La tendencia siguió en 2026, con un aumento del 108 % frente al segundo semestre de 2025. Esto muestra que los atacantes aprovechan cada vez más la ingeniería social: en lugar de explotar solamente fallos técnicos, convencen a la propia víctima para que ejecute el código malicioso.
Para prevenir una infección, es importante recordar que un CAPTCHA real no pide copiar comandos en la ventana Ejecutar, PowerShell, Terminal o MSHTA. Tampoco debe confiarse automáticamente en anuncios de buscadores, ya que una publicidad puede dirigir a páginas falsas. Conviene descargar programas únicamente desde sitios oficiales y verificar con cuidado las direcciones web.
En empresas, también es recomendable limitar el uso indebido de herramientas como PowerShell, MSHTA o Rundll32, separar los perfiles personales y laborales del navegador, y evitar guardar secretos importantes en el navegador si existe una alternativa más segura. La autenticación multifactor resistente al phishing puede reducir el impacto de un robo de contraseñas.
Si se confirma una infección, aislar el equipo es solo el comienzo. Desde un dispositivo confiable deben revocarse las sesiones activas, cambiarse las contraseñas y renovarse tokens, claves API, accesos SSH y demás credenciales expuestas. También hay que revisar el correo, los servicios en la nube, los repositorios de código y las aplicaciones financieras.
Amatera refleja cómo funciona hoy el mercado del cibercrimen: unos actores crean y mantienen el malware, mientras otros lo distribuyen mediante engaños. Por eso, protegerse no consiste solo en eliminar el archivo malicioso, sino también en invalidar toda la información que pudo haber sido robada.
Imagen destacada generada con Adobe Firefly.
