Amatera, un malware por suscripción que lidera el robo de credenciales en Latinoamérica

La compañía de ciberseguridad ESET ha advertido sobre la expansión de Amatera, una amenaza diseñada para robar credenciales, sesiones activas, documentos y otra información sensible. El malware forma parte de la creciente tendencia conocida como Malware as a Service (MaaS), un modelo que permite a delincuentes contratar herramientas maliciosas listas para usar a cambio de una cuota periódica.

Identificado por ESET como Win/PSW.Amatera, este malware para Windows se conoce desde 2024, pero ha incrementado notablemente su actividad durante el último año. Durante la primera mitad de 2026 Amatera fue el infostealer más detectado en Latinoamérica, aunque su actividad se extiende mucho más allá de esta región.

Una de las técnicas de distribución más utilizadas por los atacantes es el método conocido como ClickFix, basado en ingeniería social. Mediante esta estrategia, las víctimas son redirigidas a páginas que muestran falsas verificaciones CAPTCHA, supuestas alertas de seguridad o mensajes aparentemente legítimos que solicitan realizar ciertas acciones para continuar navegando. El objetivo es convencer al usuario para que ejecute instrucciones o comandos que terminan descargando e instalando el malware en el dispositivo.

Además de estas páginas fraudulentas, Amatera también se distribuye a través de sitios web comprometidos, anuncios maliciosos en buscadores, correos electrónicos dirigidos, documentos falsos y archivos SVG manipulados.

"Una petición que parece rutinaria puede convertirse en una oportunidad para los delincuentes. Si una página te pide copiar y ejecutar comandos para verificar que eres una persona o solucionar un supuesto error, detente y comprueba qué está ocurriendo", advierte Josep Albors, responsable de Investigación y Concienciación de ESET España.

 

Un negocio delictivo basado en suscripciones

Uno de los aspectos más llamativos de Amatera es su modelo de comercialización. Los desarrolladores mantienen el malware, los paneles de gestión y la infraestructura de soporte, mientras que los afiliados pagan una cuota para utilizarlo en sus propias campañas de ataque.

Según ESET, a finales de 2024 este servicio ya se ofrecía por alrededor de 199 dólares al mes e incluía soporte a través de Telegram. Este modelo reduce enormemente las barreras de entrada al cibercrimen, ya que permite lanzar campañas sofisticadas sin necesidad de contar con conocimientos avanzados de desarrollo de malware.

La investigación también apunta a que Amatera podría ser una evolución de ACR Stealer, una familia de malware relacionada a su vez con GrMsk Stealer, reflejando una práctica habitual entre grupos criminales: reutilizar y evolucionar herramientas existentes para volver a comercializarlas bajo nuevas marcas.

A diferencia de otros ataques centrados únicamente en la obtención de contraseñas, Amatera busca una gran variedad de datos que puedan facilitar el acceso posterior a cuentas personales y corporativas. Entre la información que puede recopilar se encuentran credenciales almacenadas en navegadores, cookies, historial de navegación, datos de formularios, tokens de sesión, documentos y archivos sensibles, e información de monederos de criptomonedas.

El malware también es capaz de acceder a contenido sincronizado con plataformas corporativas como OneDrive y SharePoint, ampliando los riesgos para usuarios empresariales.

"El robo de información no se limita a conseguir una contraseña. Los infostealers también pueden sustraer cookies y tokens de sesión, lo que puede facilitar el acceso no autorizado a determinadas cuentas", explica Albors.

Ante la expansión de este tipo de amenazas, ESET recomienda adoptar varias medidas básicas de protección, entre ellas no ejecutar instrucciones procedentes de verificaciones CAPTCHA o alertas sospechosas; descargar software únicamente desde fuentes oficiales; mantener actualizado el sistema operativo y las herramientas de seguridad; utilizar contraseñas únicas y autenticación multifactor; y cambiar inmediatamente las credenciales y cerrar sesiones activas si se sospecha una infección.