ESET Latinoamérica reveló que el malware ‘Amatera’ (ACR Stealer) lideró las detecciones de infostealers en América Latina durante el primer semestre de 2026, comercializándose bajo modelo de suscripción MaaS.
Un informe elaborado por ESET Latinoamérica reveló que el infostealer Amatera —también conocido como ACR Stealer— se convirtió en la familia de malware con mayor volumen de detecciones en la región durante el primer semestre de 2026. Operando bajo el esquema de Malware as a Service (MaaS), esta amenaza en C++ roba credenciales de navegadores, cookies de sesión, archivos en la nube y billeteras de criptomonedas, propagándose a través de anuncios falsos de herramientas de inteligencia artificial y la técnica de ingeniería social ClickFix (falsos CAPTCHA que inducen al usuario a ejecutar comandos en la terminal); el investigador de seguridad Mario Micucci subrayó la urgencia de separar perfiles laborales de los personales y revocar sesiones activas inmediatamente ante cualquier sospecha de infección.
En un ecosistema hiperconectado donde la línea entre el trabajo remoto y la vida personal converge a menudo en el mismo navegador web, los programas maliciosos diseñados para el robo silencioso de credenciales representan una de las amenazas más críticas para usuarios y organizaciones. De acuerdo con un exhaustivo análisis técnico divulgado por ESET Latinoamérica, compañía líder en detección proactiva de amenazas informáticas, el malware denominado Amatera (también identificado en la industria como ACR Stealer) se posicionó durante el primer semestre de 2026 como la familia de infostealers con el mayor volumen de detecciones en toda la región latinoamericana.
Clasificado técnicamente como Win/PSW.Amatera, este código malicioso opera bajo el modelo criminal de Malware as a Service (MaaS), lo que permite a múltiples ciberdelincuentes alquilar la infraestructura por suscripciones mensuales para desplegar campañas masivas de espionaje y sustracción de información confidencial.
¿Qué es Amatera y qué información sustrae? 🔍📂🔑
Escrito en lenguaje C++ para sistemas operativos Windows, Amatera fue detectado por primera vez en 2024 como una evolución y cambio de marca de ACR Stealer, comercializándose en foros clandestinos y canales de soporte en Telegram por una tarifa aproximada de 199 dólares mensuales. Su objetivo principal no es bloquear el equipo, sino extraer información de alto valor financiero y corporativo:
- Credenciales y sesiones activas: Sustrae contraseñas almacenadas en navegadores web, historiales de navegación, datos de autocompletado de formularios, cookies de sesión y tokens de autenticación.
- Archivos sensibles y nube: Rastrea y extrae documentos confidenciales almacenados localmente o sincronizados en plataformas como OneDrive y SharePoint.
- Billeteras de criptomonedas: Identifica billeteras digitales y monitorea el portapapeles de Windows para desviar transacciones hacia cuentas de los atacantes.
- Entornos de desarrollo: Roba credenciales FTP, claves SSH, secretos de API y accesos a repositorios de código fuente, comprometiendo la infraestructura técnica de las empresas donde laboran las víctimas.
«Amatera es un ejemplo de cómo funciona el mercado de los infostealers: sus desarrolladores mantienen el código, el panel y la infraestructura de soporte, mientras que clientes o afiliados pagan una suscripción para utilizar el malware en sus propias campañas. Su actividad no se limita a una única vía de distribución, sino que puede propagarse mediante sitios comprometidos, anuncios, documentos falsos, correos dirigidos y técnicas de ingeniería social como ClickFix» explicó Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.
La trampa de ‘ClickFix’ y falsos anuncios de Inteligencia Artificial 🪤🤖🌐
La rápida propagación de Amatera se apoya en tácticas de ingeniería social diseñadas para engañar el sentido común del usuario:
- El patrón ‘ClickFix’: Es la técnica predominante. La víctima entra a un sitio y se topa con un mensaje emergente que simula un falso test CAPTCHA, un supuesto error del navegador o una guía técnica de instalación. La pantalla instruye al usuario a «copiar y pegar» un comando en la consola de comandos de Windows (Ejecutar, PowerShell o Terminal). Al hacerlo, la propia víctima ejecuta el código malicioso sin que intervenga una descarga clásica. Según ESET, las detecciones de ClickFix crecieron un 517% en 2025 y aumentaron otro 108% en la primera mitad de 2026.
- Suplantación de herramientas de IA en Google Ads: Los ciberdelincuentes han financiado anuncios en buscadores que clonaban páginas legítimas de herramientas populares de IA y desarrollo (como Claude Code, NotebookLM, JetBrains, Cline, Comet o Snowflake), dirigidas específicamente a programadores y profesionales de tecnología.
Riesgo corporativo: Cuando el hogar y la oficina se mezclan 🏢🏠⚠️
El peligro se multiplica cuando en un mismo equipo personal se administran correos corporativos, plataformas de recursos humanos y consolas en la nube. La sustracción de una sola cookie permite a los atacantes eludir la verificación en dos pasos (2FA) por duplicación de sesión, abriendo las puertas a fraudes financieros, robo de identidad o extorsiones internas.
Protocolo de prevención y respuesta inmediata 🛡️⚙️🔄
Para mitigar el impacto de esta amenaza, los especialistas de ESET recomiendan adoptar estrictas medidas de ciberhigiene:
- Desconfiar de instrucciones de consola: Ningún CAPTCHA legítimo ni página web oficial solicita copiar comandos para ejecutarlos en PowerShell o la terminal del sistema.
- Separar perfiles: Mantener navegadores o perfiles independientes para uso personal y laboral, evitando guardar contraseñas críticas en el gestor nativo del navegador sin un administrador de contraseñas robusto.
- Control de aplicaciones en empresas: Supervisar y restringir procesos como PowerShell, MSHTA, Rundll32 y el borrado de historiales de comandos.
- Acción ante sospecha: «Aislar el equipo es solo el primer paso. Desde un dispositivo confiable deben revocarse las sesiones activas, restablecerse las contraseñas y rotarse claves API, tokens, credenciales SSH y otros secretos. Reinstalar el sistema puede ser necesario, pero no sustituye la invalidación inmediata de los datos ya robados», puntualizó Micucci.
Navegar con criterio preventivo, cuestionar ventanas emergentes inusuales y blindar los accesos digitales corporativos y personales preserva la tranquilidad financiera y la privacidad. Adoptar hábitos informáticos rigurosos y respaldados por expertos nutre un estilo de vida digital seguro, consciente, sereno y profundamente comprometido con la ciberseguridad en Costa Rica y la región.
Para saber más sobre seguridad informática visite el portal corporativo de ESET o escuche Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a Spotify
Acerca de
ESET® proporciona seguridad digital de vanguardia para prevenir ataques antes de que ocurran. Al combinar el poder de la IA y la experiencia humana, ESET® se anticipa a las ciberamenazas conocidas y emergentes, asegurando empresas, infraestructuras críticas e individuos. Ya sea protección de endpoints, nube o dispositivos móviles, sus soluciones y servicios nativos de IA y basados en la nube son altamente efectivos y fáciles de usar. La tecnología de ESET incluye detección y respuesta sólidas, cifrado ultraseguro y autenticación multifactor. Con defensa en tiempo real las 24 horas, los 7 días de la semana y un sólido soporte local, mantiene a los usuarios seguros y a las empresas funcionando sin interrupciones. Un panorama digital en constante evolución exige un enfoque progresivo de la seguridad: ESET® está comprometido con una investigación de clase mundial y una potente inteligencia sobre amenazas, respaldada por centros de I+D y una sólida red global de socios. Para obtener más información, visite https://www.eset.com/latam o síganos en LinkedIn, Facebook y Twitter.
