Por revistaeyn.com
ESET analiza Amatera, también conocido como ACR Stealer, un malware del tipo infostealer que se comercializa como Malware as a Service (MaaS). Su actividad en América Latina creció considerablemente en lo que va de 2026 y, durante la primera mitad del año, fue la familia de infostealers con más actividad.
Amatera no limita su actividad a América Latina, sino que apunta a víctimas a nivel global. Su función es obtener datos como credenciales, cookies de sesión, tokens, billeteras de criptomonedas, información de mensajería, archivos e información de entornos de desarrollo.
“Su actividad no se limita a una única vía de distribución, sino que puede propagarse mediante sitios comprometidos, anuncios, documentos falsos, correos dirigidos y técnicas de ingeniería social como ClickFix”, explica Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
Amatera es un infostealer para Windows escrito en C++ que se observó por primera vez en 2024. Se distribuye bajo un modelo de Malware as a Service (MaaS), mediante el cual sus desarrolladores mantienen el código, el panel y la infraestructura de soporte, mientras que los clientes o afiliados pagan por una suscripción para utilizarlo en sus propias campañas.
Según distintas compañías de seguridad, Amatera es un rebrand de ACR Stealer. Es decir, una versión actualizada del código que incluyó un cambio de nombre. A esta conclusión se llega por la similitud en el código de ambas familias de malware.
Las campañas públicas incluyen el uso de sitios web comprometidos, anuncios en buscadores, documentos falsos, correos dirigidos, archivos SVG y ClickFix mediante falsos CAPTCHA.
En América Latina, los datos de ESET correspondientes al primer semestre de 2026 muestran que Amatera (Win/PSW.Amatera) es el infostealer con mayor volumen de detecciones, por encima de otras familias como Formbook, Vidar, Snakestealer, Lummastealer o Rhadamanthys.
La prevención debe concentrarse en el momento en que la víctima recibe la instrucción y en las herramientas que la ejecutan. Una verificación CAPTCHA o una guía de instalación legítima no pide copiar comandos desde una página hacia Ejecutar, PowerShell, Terminal o MSHTA. Los anuncios de buscadores tampoco garantizan que un sitio sea oficial.
Entre las principales recomendaciones de ESET se destacan:
· Aplicar control de aplicaciones y reglas de reducción de superficie de ataque para limitar intérpretes y binarios del sistema usados fuera de su contexto normal.
· Supervisar PowerShell, MSHTA, Rundll32, Python, WebDAV, tareas programadas inusuales y el borrado del historial de PowerShell.
· Usar autenticación resistente al phishing y mantener sesiones de navegador con la menor duración compatible con el negocio.
· Separar perfiles personales y laborales y evitar guardar secretos de alto impacto en el navegador cuando exista una alternativa administrada.
· Filtrar sitios recién creados, páginas de instalación clonadas y descargas iniciadas desde publicidad cuando el contexto no las justifique.
“Ante una infección confirmada, aislar el equipo es solo el primer paso. Desde un dispositivo confiable deben revocarse las sesiones activas, restablecerse las contraseñas y rotarse claves API, tokens, credenciales SSH y otros secretos presentes en el sistema. También es necesario revisar los accesos al correo, la nube, repositorios y aplicaciones financieras desde la fecha probable de compromiso”, señala Micucci.
