Lima, octubre de 2026.- ESET Latinoamérica analiza el Amatera infostealer en América Latina, un programa malicioso que durante el primer semestre de 2026 registró el mayor volumen de detecciones de su tipo en la región. Según la compañía de ciberseguridad, puede robar credenciales, cookies, tokens y billeteras de criptomonedas, con riesgo de fraude y accesos no autorizados.
Amatera, también conocido como ACR Stealer, se comercializa como malware como servicio (MaaS): sus desarrolladores mantienen el código y la infraestructura, y los clientes pagan una suscripción para usarlo en sus campañas. ESET indica que su actividad en la región creció considerablemente en lo que va de 2026 y que apunta a víctimas en todo el mundo.
Mario Micucci, investigador de seguridad informática de ESET Latinoamérica, describió su alcance: “Su actividad no se limita a una única vía de distribución, sino que puede propagarse mediante sitios comprometidos, anuncios, documentos falsos, correos dirigidos y técnicas de ingeniería social como ClickFix”.
Amatera infostealer en América Latina: el mayor volumen de detecciones
Según los datos de ESET del primer semestre de 2026, Amatera (detectado como Win/PSW.Amatera) supera a otras familias como Formbook, Vidar, Snakestealer, Lummastealer o Rhadamanthys. La compañía sostiene que su presencia debe ser tenida en cuenta por los equipos de TI, las empresas y los usuarios.
Es un infostealer para Windows escrito en C++, observado por primera vez en 2024. Distintas compañías de seguridad lo consideran un cambio de nombre de ACR Stealer por la similitud del código. A fines de 2024 circulaba por 199 dólares mensuales, con soporte mediante Telegram.
Qué datos roba y cómo se distribuye
Puede extraer credenciales guardadas en navegadores, cookies, historiales, datos de formularios, tokens de sesión y archivos sincronizados con OneDrive o SharePoint. También busca datos de billeteras de criptomonedas mediante la manipulación del portapapeles.
Entre las vías de distribución figuran sitios comprometidos, anuncios en buscadores, documentos falsos, correos dirigidos, archivos SVG y ClickFix, el patrón más repetido a nivel global. La víctima ve un mensaje que imita una verificación CAPTCHA o un error del navegador y se le pide copiar y ejecutar una instrucción, de modo que una acción propia lanza las etapas siguientes. Según ESET, las detecciones de ClickFix crecieron 517% en el primer semestre de 2025 frente al semestre anterior, y 108% en la primera mitad de 2026 respecto del segundo semestre de 2025.
ESET también menciona sitios falsos promovidos con anuncios de Google que imitaban herramientas de IA como Claude Code o NotebookLM para llegar a desarrolladores.
Riesgos y cómo protegerse de un infostealer
ESET advierte que el riesgo corporativo crece cuando se mezclan perfiles personales y laborales en el mismo navegador, porque la información robada puede servir de puerta de entrada que otro actor explote días después. Entre sus recomendaciones figuran:
- Aplicar control de aplicaciones para limitar los intérpretes y binarios del sistema usados fuera de contexto.
- Usar autenticación resistente a la suplantación de identidad y sesiones de navegador de corta duración.
- Separar perfiles personales y laborales y filtrar descargas iniciadas desde publicidad.
Micucci, de ESET, señaló: “Ante una infección confirmada, aislar el equipo es solo el primer paso. Desde un dispositivo confiable deben revocarse las sesiones activas, restablecerse las contraseñas y rotarse claves API, tokens, credenciales SSH y otros secretos presentes en el sistema”.
En entornos corporativos, la compañía indica que la respuesta debe buscar movimientos posteriores y que reinstalar el equipo no sustituye la invalidación de los datos ya robados. Para ESET, la clave es frenar a tiempo la instrucción maliciosa e invalidar cuanto antes lo que ya fue robado.