Conoce cómo opera el peligroso malware Amatera en América Latina y descubre las mejores prácticas para proteger todos tus equipos.
La compañía de ciberseguridad ESET analizó el funcionamiento del malware Amatera, una amenaza digital conocida anteriormente como ACR Stealer (Infostealer) que opera bajo el modelo de software malicioso como servicio y que durante la primera mitad de 2026 lideró las detecciones de ladrones de información en América Latina, superando a familias como Formbook, Vidar o Lummastealer.
Aunque su presencia creció con fuerza en la región, este programa escrito en C++ para Windows ataca a nivel global desde 2024 mediante suscripciones mensuales de 199 dólares con soporte en Telegram, buscando extraer contraseñas de navegadores, cookies, tokens de sesión, billeteras de criptomonedas mediante el portapapeles, archivos de OneDrive o SharePoint y datos de entornos de desarrollo.
Sobre el alcance de esta amenaza, Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica, explica que:
“Amatera es un ejemplo de cómo funciona el mercado de los infostealers: sus desarrolladores mantienen el código, el panel y la infraestructura de soporte, mientras que clientes o afiliados pagan una suscripción para utilizar el malware en sus propias campañas.
Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica
Su actividad no se limita a una única vía de distribución, sino que puede propagarse mediante sitios comprometidos, anuncios, documentos falsos, correos dirigidos y técnicas de ingeniería social como ClickFix”.
En las campañas globales destaca el uso de ClickFix, un método cuyas detecciones subieron un 517% en el primer semestre de 2025 y otro 108% en la primera mitad de 2026. Esta trampa muestra un falso CAPTCHA, un error del navegador o una guía de instalación que indica a la víctima copiar y ejecutar una instrucción en su computador, logrando que el propio usuario inicie la infección.
Además, se distribuye mediante archivos SVG y anuncios en Google que suplantan herramientas de inteligencia artificial como Claude Code, NotebookLM, JetBrains, Cline, Comet o Snowflake para engañar a los desarrolladores.
Una infección en el equipo puede provocar el robo de cuentas, pérdida de criptoactivos y el acceso ilegal a redes corporativas mediante claves SSH o FTP, un riesgo que crece al mezclar perfiles personales y laborales en el mismo navegador.
Para prevenirlo, recuerda que ninguna verificación legítima pide pegar comandos en Ejecutar, PowerShell, MSHTA o la consola del sistema, aconsejando separar los perfiles de uso, aplicar autenticación resistente al phishing, bloquear sitios clonados y vigilar procesos como Rundll32 o Python, considerando que formatear el dispositivo no basta si no se invalidan antes los datos robados.
