Amatera: el infostealer que amenaza las credenciales y los accesos de las empresas
El robo de contraseñas ya no es el único riesgo. Amatera puede extraer cookies de sesión, tokens de acceso, documentos y claves utilizadas por desarrolladores, convirtiendo un equipo infectado en una posible puerta de entrada a sistemas corporativos. Durante el primer semestre de 2026, fue el infostealer con mayor volumen de detecciones en América Latina, según datos de ESET.
Una persona busca una herramienta de inteligencia artificial, encuentra un anuncio que parece legítimo y descarga el programa. Otra visita un sitio web que le solicita completar una verificación para solucionar un supuesto problema técnico. En ambos casos, una acción aparentemente cotidiana puede terminar con la ejecución de código malicioso en su equipo.
Este tipo de engaños forma parte de las estrategias utilizadas para distribuir Amatera, un malware especializado en robar información que ha ganado protagonismo en la región.
Su peligrosidad no radica únicamente en la cantidad de datos que puede extraer. También está en el valor que esa información adquiere una vez que llega a manos de los ciberdelincuentes. Una contraseña robada puede permitir el acceso a una cuenta; una cookie de sesión puede facilitar el secuestro de una sesión autenticada; y una clave de desarrollo expuesta puede comprometer recursos que van mucho más allá del dispositivo infectado.
Para las organizaciones, esto plantea un desafío importante: proteger los equipos es indispensable, pero también lo es controlar qué ocurre con las credenciales y los accesos cuando un dispositivo resulta comprometido.
¿Qué es Amatera y por qué preocupa a los equipos de ciberseguridad?
Amatera, también conocido como ACR Stealer, es un infostealer: un tipo de malware diseñado para recopilar información almacenada o utilizada en un dispositivo y enviarla a los atacantes.
Identificado por primera vez en 2024, está desarrollado en C++ y dirigido a sistemas Windows. Su actividad se extiende a distintos países, por lo que su presencia en América Latina forma parte de una amenaza de alcance global.
Una característica relevante es su modelo de comercialización. Amatera funciona bajo el esquema de Malware as a Service (MaaS), en el que sus desarrolladores ofrecen el código malicioso y los recursos necesarios para utilizarlo a otros actores delictivos.
Este modelo reduce las barreras técnicas para lanzar campañas de robo de información. Quienes adquieren el servicio pueden distribuir el malware mediante sus propios métodos, sin tener que desarrollar desde cero una herramienta de estas características.
Además, los análisis de seguridad relacionan Amatera con ACR Stealer debido a las similitudes entre ambos códigos. Esta continuidad evidencia una práctica frecuente en el ecosistema del cibercrimen: actualizar, modificar o renombrar herramientas para mantenerlas operativas y prolongar su comercialización.
Para las organizaciones, la consecuencia es clara: no basta con buscar un único nombre de malware. La defensa debe considerar sus comportamientos, los mecanismos de infección y los indicadores que permiten detectar una actividad sospechosa.
Qué información puede robar Amatera
El objetivo de este infostealer es obtener datos que puedan utilizarse directamente o servir como punto de partida para nuevos ataques.
Entre la información que puede buscar y extraer se encuentra:
Credenciales y sesiones: contraseñas almacenadas en navegadores, cookies y tokens de autenticación.
Información personal y documentos: historiales, datos de formularios, archivos sensibles y contenido sincronizado con servicios de almacenamiento en la nube.
Activos de criptomonedas: información de billeteras y extensiones relacionadas, además de datos que pueden facilitar el robo de criptoactivos.
Información de desarrollo: claves SSH, credenciales y otros secretos que pueden dar acceso a repositorios, servidores o servicios tecnológicos.
Datos de aplicaciones y mensajería: información que puede aprovecharse para suplantar identidades o comprometer cuentas.
El alcance de estos datos convierte a Amatera en algo más que una amenaza para la privacidad individual.
Imaginemos que un colaborador utiliza su navegador para acceder tanto a servicios personales como al correo corporativo, las plataformas de trabajo y las herramientas de administración de la empresa. Si el dispositivo se infecta, la información extraída podría facilitar el acceso a varios de esos servicios.
El riesgo tampoco termina cuando el malware deja de ejecutarse. Las credenciales robadas pueden almacenarse, comercializarse o utilizarse posteriormente, incluso después de que el equipo haya sido limpiado.
Por eso, una infección debe evaluarse como un posible compromiso de identidad y accesos, no solamente como un problema del dispositivo afectado.
ClickFix: cuando la víctima ejecuta el ataque
Aunque Amatera puede distribuirse por diferentes vías, una de las técnicas que aparece reiteradamente en campañas documentadas es ClickFix, un método de ingeniería social que induce a las personas a ejecutar instrucciones bajo falsos pretextos.
El engaño suele comenzar en una página que imita una verificación CAPTCHA, una alerta del navegador o una instrucción para instalar o corregir un programa. En lugar de limitarse a solicitar un clic, el sitio guía a la víctima para que copie y ejecute un comando en su propio equipo.
La secuencia puede parecer legítima porque la acción se presenta como parte de una solución técnica. Sin embargo, al seguir las instrucciones, la persona puede iniciar una cadena que termina descargando o ejecutando malware.
Este mecanismo resulta especialmente relevante porque desplaza parte de la ejecución hacia el propio usuario. La víctima no necesariamente descarga un archivo que reconoce como sospechoso: es inducida a realizar una acción que facilita la infección.
Las cifras de ESET muestran que esta técnica ha ganado presencia en la región. Durante el primer semestre de 2025, las detecciones de ClickFix aumentaron un 517 % respecto del semestre anterior. En la primera mitad de 2026, volvieron a crecer un 108 % en comparación con el segundo semestre de 2025.
Estas cifras reflejan la expansión de una táctica de distribución que puede utilizarse con distintas familias de malware, no exclusivamente con Amatera.
Las falsas herramientas de inteligencia artificial también pueden ser un señuelo
Otra vía documentada es la publicidad maliciosa en buscadores. Algunas campañas han utilizado anuncios que imitan herramientas legítimas de inteligencia artificial y desarrollo para atraer a usuarios que buscan descargar programas conocidos.
El problema es que aparecer entre los primeros resultados de una búsqueda no garantiza que una página sea oficial ni que su descarga sea segura.
Para las empresas, esto adquiere especial importancia cuando sus equipos utilizan asistentes de programación, plataformas de IA y otras herramientas técnicas. Un instalador falso puede convertirse en el punto de partida para robar credenciales, claves y secretos de desarrollo.
Por lo tanto, la prevención no debería limitarse a advertir sobre archivos adjuntos sospechosos. También debe contemplar los hábitos de descarga, la validación de las fuentes y los procedimientos que permiten instalar software en los equipos corporativos.
Amatera lidera las detecciones de infostealers en América Latina
Los datos de ESET correspondientes al primer semestre de 2026 sitúan a Amatera como la familia de infostealers con mayor volumen de detecciones en América Latina, por encima de otras amenazas conocidas, como Formbook, Vidar, Snakestealer, Lumma Stealer y Rhadamanthys.
Este posicionamiento merece atención por parte de las áreas de TI y ciberseguridad, especialmente porque Amatera es una amenaza relativamente reciente y sus operadores pueden recurrir a múltiples métodos de distribución.
Sin embargo, el volumen de detecciones no debe interpretarse como una medición directa del número total de víctimas o de incidentes exitosos. Sí constituye una señal relevante para evaluar la exposición y revisar los controles preventivos y de detección.
La combinación de un modelo de comercialización como servicio, distintas vías de infección y la capacidad de extraer información de alto valor hace que esta amenaza deba considerarse dentro de las estrategias de protección de las organizaciones.
De una contraseña robada a una intrusión corporativa
El impacto de Amatera depende, en buena medida, de la información que consiga extraer y de los accesos que esa información permita obtener.
Entre las principales consecuencias posibles se encuentran:
Secuestro de cuentas y suplantación de identidad. Las credenciales, cookies y tokens robados pueden facilitar el acceso no autorizado a servicios personales o corporativos.
Exposición de documentos y servicios en la nube. Una cuenta comprometida puede abrir el acceso a correos, archivos compartidos y plataformas utilizadas para almacenar información de la empresa.
Compromiso de sistemas tecnológicos. Las claves SSH, los tokens de API y otros secretos de desarrollo pueden facilitar accesos indebidos a servidores, repositorios y servicios internos.
Fraude y robo financiero. Los datos de acceso y la información de billeteras de criptomonedas pueden utilizarse para apropiarse de activos o ejecutar operaciones fraudulentas.
Ataques posteriores. Una cuenta comprometida puede servir para enviar mensajes fraudulentos a otros colaboradores, ampliar el acceso a sistemas internos o preparar nuevas intrusiones.
El riesgo aumenta cuando los dispositivos personales y laborales comparten sesiones, contraseñas o información sensible. Un equipo doméstico, por ejemplo, puede contener accesos a plataformas empresariales que no están directamente relacionadas con la actividad personal de su propietario.
Esto demuestra por qué la gestión de identidades y accesos debe formar parte de la estrategia de ciberseguridad: la exposición de una credencial puede tener consecuencias que superan ampliamente el incidente inicial.
Cómo reducir el riesgo de infección por Amatera
La prevención requiere combinar controles tecnológicos con hábitos de uso seguros. Estas son algunas medidas que las organizaciones pueden incorporar a su estrategia.
1. Capacitar a los usuarios para reconocer ClickFix.
Las personas deben saber que una verificación CAPTCHA legítima no les solicita copiar comandos y ejecutarlos en PowerShell, la terminal u otras herramientas del sistema. Ante instrucciones inesperadas de este tipo, lo correcto es detenerse y verificar la página por un canal confiable.
2. Controlar las descargas y la instalación de software.
Es importante utilizar fuentes oficiales, validar los dominios y limitar la instalación de aplicaciones a los procedimientos autorizados por la organización. Los anuncios patrocinados no deben considerarse una garantía de legitimidad.
3. Restringir la ejecución de comandos y aplicaciones.
Los controles de aplicaciones y las reglas de reducción de superficie de ataque pueden ayudar a limitar el uso indebido de intérpretes y herramientas del sistema. También conviene supervisar comportamientos anómalos asociados a PowerShell, MSHTA y otros componentes que pueden utilizarse durante una cadena de infección.
4. Fortalecer la protección de credenciales y sesiones.
La autenticación multifactor resistente al phishing, cuando sea viable, reduce el riesgo de que una contraseña robada sea suficiente para acceder a una cuenta. También es recomendable revisar la duración de las sesiones, separar los perfiles personales de los laborales y evitar almacenar secretos críticos en ubicaciones poco protegidas.
5. Mantener la vigilancia sobre los accesos.
Los equipos de seguridad deben prestar atención a los inicios de sesión inusuales, los cambios de comportamiento, las conexiones inesperadas y el uso anómalo de cuentas privilegiadas. La detección no debería depender exclusivamente de identificar un archivo malicioso conocido.
Qué hacer si se sospecha una infección
Si existen indicios de que un equipo está comprometido, la respuesta debe considerar tanto el dispositivo como la información que pudo haber sido sustraída.
El primer paso es aislar el equipo afectado de la red según los procedimientos de respuesta de la organización y activar la revisión técnica correspondiente. A continuación, desde un dispositivo confiable, deben revocarse las sesiones activas y cambiarse las contraseñas expuestas.
También es necesario rotar los tokens de acceso, las claves API, las credenciales SSH y otros secretos que pudieran estar almacenados en el equipo. Cuando corresponda, se deben revisar los registros de acceso al correo, los servicios en la nube, los repositorios y las aplicaciones financieras para identificar actividad no autorizada.
La investigación debe determinar si hubo ejecución de otras cargas maliciosas, persistencia en el sistema o intentos de acceder a otros equipos. Limpiar o reinstalar el dispositivo puede ser necesario, pero no invalida automáticamente las credenciales ni elimina la información que los atacantes ya pudieron obtener.
Por eso, una respuesta efectiva debe coordinar la contención técnica con la revocación de accesos y el análisis de posibles movimientos posteriores.
Conclusión: proteger el equipo ya no es suficiente
Amatera refleja una evolución importante del robo de información: los atacantes pueden adquirir herramientas especializadas, distribuirlas mediante campañas de ingeniería social y obtener datos que conservan su valor incluso después de una infección.
Para las empresas, el desafío consiste en evitar que una descarga engañosa o una instrucción maliciosa termine comprometiendo identidades, aplicaciones y recursos críticos.
Esto requiere una estrategia que integre prevención, monitoreo, análisis de comportamiento y respuesta a incidentes. También exige entender que la seguridad no termina al eliminar el malware: las sesiones deben invalidarse, las credenciales deben renovarse y los posibles accesos indebidos deben investigarse.
En Lockbits, ayudamos a las organizaciones a fortalecer sus capacidades de ciberseguridad mediante estrategias de protección, detección y respuesta adaptadas a sus necesidades.
¿Tu empresa está preparada para detectar un robo de credenciales antes de que se convierta en una intrusión?
Conversemos sobre cómo fortalecer la seguridad de tu organización en lockbits.cl/contacto.