Amatera Stealer: aumenta el robo de credenciales y tokens en América Latina mediante campañas ClickFix

Introducción: Amatera Stealer se convierte en una amenaza creciente para las empresas latinoamericanas

El panorama de amenazas informáticas en América Latina vuelve a encender las alarmas. Una nueva alerta de seguridad publicada por el Centro de Operaciones de Seguridad de Colombia (ColCERT) advierte sobre un incremento significativo de las campañas de distribución del malware Amatera Stealer, también conocido como ACR Stealer.

Este infostealer, desarrollado en C++, está diseñado para comprometer sistemas Windows y extraer información sensible de sus víctimas. Su capacidad para robar contraseñas, cookies de sesión, tokens de autenticación, claves SSH y documentos corporativos lo convierte en una amenaza especialmente peligrosa para organizaciones que dependen de servicios cloud y herramientas de desarrollo.

Lo más preocupante no es únicamente su capacidad de extracción de información, sino su modelo de comercialización Malware-as-a-Service (MaaS), que permite a diferentes ciberdelincuentes utilizarlo sin necesidad de desarrollar su propio malware.

Además, las campañas detectadas están utilizando técnicas de ingeniería social como ClickFix y publicidad maliciosa que suplanta plataformas tecnológicas legítimas, incluyendo herramientas de inteligencia artificial y desarrollo de software.

COLCERT clasifica esta amenaza con un nivel de riesgo ALTO.

1. ¿Qué es Amatera Stealer y cómo funciona?

Amatera Stealer es un malware de tipo infostealer especializado en el robo de información almacenada en equipos Windows.

También identificado como ACR Stealer y relacionado con la evolución de GrMSK Stealer, este código malicioso se comercializa mediante un modelo de suscripción que facilita su utilización por múltiples operadores.

Según la alerta de COLCERT, su comercialización se sitúa aproximadamente en los 199 dólares mensuales, con soporte a través de Telegram.

Este modelo reduce las barreras técnicas para los atacantes: en lugar de desarrollar una infraestructura propia, pueden adquirir el malware y concentrarse en distribuirlo, comprometer víctimas y monetizar la información obtenida.

¿Qué información puede robar Amatera?

Su capacidad de recopilación abarca diferentes categorías de información:

Información	Riesgo para la organización
Contraseñas de navegadores	Acceso no autorizado a cuentas corporativas
Cookies de sesión	Secuestro de sesiones autenticadas
Tokens de acceso	Compromiso de servicios cloud y aplicaciones
Claves SSH	Acceso a servidores e infraestructura
Credenciales FTP	Acceso a sistemas y transferencia de archivos
Secretos de desarrollo	Compromiso de repositorios, pipelines y APIs
Billeteras de criptomonedas	Robo de activos digitales
Documentos corporativos	Exposición de información confidencial
Datos del portapapeles	Sustitución de direcciones de billeteras y captura de información

Uno de los aspectos más críticos es el robo de cookies y tokens de sesión. Estos elementos pueden permitir a un atacante reutilizar sesiones previamente autenticadas y, en determinadas circunstancias, evitar que una autenticación multifactor vuelva a solicitarse.

Por tanto, disponer de MFA no significa que una organización esté completamente protegida frente al robo de sesiones.

2. ClickFix: la técnica de ingeniería social que facilita la infección

Una de las principales técnicas utilizadas para distribuir Amatera es ClickFix.

Este método no depende exclusivamente de explotar una vulnerabilidad técnica del sistema operativo. En su lugar, manipula al usuario para que ejecute voluntariamente instrucciones maliciosas.

El procedimiento suele comenzar cuando una víctima accede a una página web comprometida o a un sitio que suplanta una plataforma legítima.

A continuación, aparece una supuesta verificación de seguridad, normalmente con mensajes como:

• Verifying you are human.
• Complete the security verification.
• Your browser requires additional verification.

En algunos casos, el sitio utiliza una apariencia similar a las verificaciones anti-bot de Cloudflare.

La página solicita al usuario que realice una secuencia de acciones:

1. Presionar Win + R.
2. Pegar un supuesto código de verificación mediante Ctrl + V.
3. Ejecutar el contenido presionando Enter.

El problema es que el contenido copiado no es una verificación legítima: es un comando preparado para ejecutar código malicioso.

Dependiendo de la campaña, pueden intervenir PowerShell, el intérprete de comandos de Windows o mshta.exe.

El usuario termina ejecutando el malware con sus propios permisos, lo que puede permitir que la infección se desarrolle sin necesidad de explotar directamente una vulnerabilidad del navegador.

¿Por qué ClickFix resulta tan peligroso?

Porque aprovecha la confianza del usuario en mecanismos de seguridad conocidos.

Los empleados están acostumbrados a resolver verificaciones CAPTCHA y mensajes de error. Los atacantes utilizan esa familiaridad para convertir una interacción aparentemente inofensiva en un mecanismo de ejecución de malware.

Una regla fundamental: ninguna verificación CAPTCHA legítima debe solicitar que el usuario copie y ejecute comandos en PowerShell, CMD o el cuadro Ejecutar de Windows.

3. Malvertising: anuncios de Google que suplantan herramientas de inteligencia artificial

Otro vector identificado en las campañas de Amatera es el malvertising, es decir, la utilización de publicidad digital para distribuir malware.

Los atacantes crean anuncios que imitan plataformas legítimas y los utilizan para dirigir a las víctimas hacia páginas fraudulentas.

Entre los servicios suplantados identificados por COLCERT se encuentran:

• Claude Code.
• NotebookLM.
• JetBrains.
• Cline.
• Comet.
• Snowflake.

El objetivo es especialmente interesante desde el punto de vista empresarial: desarrolladores, administradores de sistemas, ingenieros DevOps y profesionales tecnológicos.

¿Por qué dirigirse a estos perfiles?

Porque sus equipos pueden almacenar información de alto valor:

• Tokens de GitHub y GitLab.
• Credenciales de proveedores cloud.
• Claves SSH.
• Variables de entorno.
• Secretos de aplicaciones.
• Credenciales de bases de datos.
• Accesos a plataformas CI/CD.
• Archivos de configuración de infraestructura.

Una infección en el equipo de un desarrollador puede convertirse en el punto de entrada para comprometer repositorios, entornos de producción y servicios cloud.

Por eso, los infostealers representan un riesgo que va mucho más allá del robo de contraseñas personales.

4. Cómo se desarrolla el ataque: de la infección al compromiso corporativo

Las campañas de Amatera pueden generar una cadena de consecuencias que afecta tanto al usuario como a toda la organización.

El proceso puede dividirse en cinco etapas:

1. Distribución

El atacante utiliza phishing, páginas comprometidas, anuncios fraudulentos o campañas ClickFix para atraer a la víctima.

2. Ejecución

El usuario ejecuta las instrucciones maliciosas o descarga y abre un archivo preparado para iniciar la infección.

3. Recopilación

El malware busca información almacenada en el dispositivo: contraseñas, cookies, tokens, claves SSH y documentos.

4. Exfiltración

La información recopilada se envía a servidores de comando y control (C2) controlados por los atacantes.

5. Monetización y ataques secundarios

Los datos pueden venderse en mercados clandestinos o utilizarse para facilitar nuevas intrusiones mediante corredores de acceso inicial (Initial Access Brokers).

El impacto puede evolucionar de un equipo individual comprometido a una intrusión corporativa de mayor alcance.

Por ejemplo, un token de acceso robado puede facilitar el compromiso de un repositorio de código. Desde allí, un atacante podría investigar secretos expuestos, modificar código o intentar acceder a entornos de despliegue.

5. MITRE ATT&CK: técnicas utilizadas por Amatera Stealer

La alerta de COLCERT identifica diferentes tácticas y técnicas que pueden utilizarse para analizar y detectar esta amenaza.

Táctica	Técnica MITRE ATT&CK	Descripción
Initial Access	T1566	Phishing
Execution	T1204.001	Ejecución mediante enlaces maliciosos
Execution	T1204.002	Ejecución de archivos maliciosos
Execution	T1059.001	PowerShell
Credential Access	T1555.003	Robo de credenciales almacenadas en navegadores
Credential Access	T1539	Robo de cookies de sesión web
Collection	T1115	Captura de información del portapapeles
Collection / Credential Access	T1056.001	Keylogging
Exfiltration	T1041	Exfiltración mediante canales C2

Este mapeo resulta especialmente útil para los equipos SOC, responsables de seguridad y profesionales de threat hunting.

Permite construir reglas de detección, identificar comportamientos sospechosos y establecer controles basados en técnicas observables, en lugar de depender únicamente de indicadores de compromiso estáticos.

6. Cómo proteger una empresa frente a Amatera Stealer

La protección frente a este tipo de infostealers requiere una estrategia que combine prevención, detección y respuesta.

No es suficiente instalar un antivirus. Es necesario reducir la capacidad de ejecución del malware y limitar el impacto de las credenciales que puedan resultar comprometidas.

6.1. Microsoft Defender y protección de endpoints

En entornos Windows empresariales se recomienda:

• Mantener Microsoft Defender Antivirus actualizado.
• Habilitar la protección proporcionada por la nube.
• Activar la protección contra aplicaciones potencialmente no deseadas.
• Implementar reglas de reducción de superficie de ataque (ASR).
• Habilitar EDR en modo de bloqueo cuando la solución y la compatibilidad lo permitan.
• Utilizar Microsoft Defender for Endpoint para investigar comportamientos sospechosos.

Las reglas ASR deben evaluarse y desplegarse inicialmente en modo auditoría para evitar interrupciones operativas.

También es importante investigar la ejecución de PowerShell, especialmente cuando se inicia desde aplicaciones ofimáticas, navegadores o procesos que no suelen requerirlo.

6.2. Bloquear la ejecución no autorizada de PowerShell y MSHTA

Una de las medidas más importantes consiste en restringir los intérpretes de comandos.

Se recomienda utilizar:

• AppLocker.
• Windows Defender Application Control (WDAC).
• Políticas de PowerShell.
• Microsoft Defender Attack Surface Reduction.

La política debe limitar especialmente la ejecución de scripts y aplicaciones no autorizadas desde perfiles de usuario y directorios temporales.

No se recomienda bloquear PowerShell indiscriminadamente, ya que numerosas tareas administrativas y procesos empresariales legítimos dependen de él.

El objetivo es controlar quién puede ejecutarlo, desde dónde y bajo qué condiciones.

6.3. Proteger Microsoft 365, OneDrive y SharePoint

Como Amatera puede buscar información corporativa sincronizada, Microsoft 365 debe considerarse una parte fundamental de la superficie de ataque.

Medidas recomendadas:

• Aplicar MFA resistente al phishing cuando sea posible.
• Implementar políticas de acceso condicional.
• Habilitar Microsoft Defender for Cloud Apps.
• Supervisar inicios de sesión anómalos.
• Restringir el acceso desde dispositivos no administrados.
• Utilizar Microsoft Purview para identificar y proteger información sensible.
• Configurar alertas ante actividad inusual de descarga y acceso a documentos.

Es especialmente importante recordar que una contraseña cambiada no invalida necesariamente todas las sesiones existentes.

Ante una infección confirmada, deben revocarse las sesiones y los tokens correspondientes desde un dispositivo limpio.

6.4. AWS: proteger credenciales, aplicaciones e infraestructura cloud

Las organizaciones que utilizan AWS deben asumir que un infostealer puede comprometer credenciales de desarrolladores, claves de acceso y secretos almacenados en equipos locales.

Se recomienda aplicar los siguientes controles:

AWS IAM

• Evitar el uso de claves de acceso permanentes cuando sea posible.
• Priorizar roles y credenciales temporales.
• Aplicar el principio de mínimo privilegio.
• Habilitar MFA en cuentas privilegiadas.
• Revisar y eliminar credenciales innecesarias.

AWS Secrets Manager

Utilizar AWS Secrets Manager para almacenar secretos de aplicaciones y evitar incluir contraseñas, tokens o claves API en archivos locales o repositorios.

AWS CloudTrail

Habilitar el registro de actividad para investigar operaciones sospechosas, como:

• Creación de nuevas claves de acceso.
• Cambios en políticas IAM.
• Uso anómalo de credenciales.
• Accesos desde ubicaciones inesperadas.
• Modificaciones de roles y permisos.

Amazon GuardDuty

Utilizar GuardDuty para identificar comportamientos sospechosos relacionados con credenciales comprometidas, actividad anómala y posibles amenazas en la infraestructura AWS.

AWS WAF

AWS WAF puede ayudar a proteger las aplicaciones web expuestas frente a tráfico malicioso, bots y determinados patrones de explotación.

Sin embargo, hay una distinción importante: AWS WAF no detiene directamente la ejecución de un infostealer en un equipo Windows ni evita el robo de cookies almacenadas localmente.

Su función es proteger las aplicaciones web y reducir riesgos en el perímetro de las aplicaciones, no sustituir los controles EDR, IAM o de seguridad del endpoint.

6.5. Proteger los entornos de desarrollo y CI/CD

Los desarrolladores constituyen uno de los objetivos más atractivos de estas campañas.

Es necesario establecer controles específicos:

• No almacenar tokens de GitHub, GitLab o proveedores cloud en texto plano.
• Utilizar gestores empresariales de secretos.
• Evitar credenciales permanentes en archivos .env.
• Implementar escaneo de secretos en repositorios.
• Aplicar MFA resistente al phishing.
• Utilizar credenciales temporales en pipelines CI/CD.
• Separar entornos de desarrollo, pruebas y producción.
• Revisar los permisos de las cuentas de servicio.
• Mantener los equipos de desarrollo bajo administración centralizada.

Una credencial de desarrollador comprometida puede proporcionar acceso a información y sistemas mucho más valiosos que el propio dispositivo infectado.

7. Indicadores de comportamiento que debe vigilar un SOC

En lugar de depender únicamente de hashes o dominios conocidos, los equipos de seguridad deben buscar comportamientos compatibles con la cadena de infección.

Algunas señales que merecen investigación son:

Evento	Comportamiento sospechoso
PowerShell	Ejecución inesperada desde aplicaciones de usuario
MSHTA	Inicio de procesos desde navegadores o documentos
CMD	Ejecución de comandos inusual en perfiles de usuario
Descargas	Archivos ejecutables procedentes de páginas fraudulentas
Navegadores	Acceso anómalo a bases de datos de credenciales
Autenticación	Reutilización de sesiones desde ubicaciones o dispositivos inusuales
SSH	Uso de claves desde sistemas no habituales
Cloud	Actividad inesperada de tokens o cuentas de servicio
Portapapeles	Sustitución sospechosa de direcciones de criptomonedas

Ejemplo de consulta de investigación en Microsoft Defender XDR

El siguiente ejemplo permite localizar ejecuciones de PowerShell y MSHTA durante las últimas 24 horas:

DeviceProcessEvents
| where Timestamp > ago(24h)
| where FileName in~ ("powershell.exe", "pwsh.exe", "mshta.exe")
| project Timestamp,
          DeviceName,
          AccountName,
          FileName,
          ProcessCommandLine,
          InitiatingProcessFileName,
          InitiatingProcessCommandLine
| order by Timestamp desc

Esta consulta es una búsqueda inicial de telemetría, no una regla definitiva de detección de Amatera.

Los analistas deben correlacionar los resultados con el proceso padre, el usuario, la actividad de red y los eventos de autenticación.

8. Qué hacer si un equipo está infectado con Amatera

Cuando existe una sospecha razonable de infección, la prioridad es impedir que el atacante siga utilizando las credenciales robadas.

Se recomienda aplicar el siguiente procedimiento:

Paso 1. Aislar el dispositivo

Desconectar o aislar el equipo de la red corporativa mediante la solución EDR.

No utilizar el dispositivo comprometido para cambiar contraseñas ni acceder a servicios empresariales.

Paso 2. Revocar sesiones y tokens

Desde un dispositivo limpio:

• Revocar sesiones de Microsoft 365.
• Invalidar sesiones de Google Workspace.
• Revocar tokens de GitHub y GitLab.
• Revisar sesiones y credenciales de AWS.
• Invalidar tokens de aplicaciones y servicios corporativos.

Paso 3. Rotar credenciales y secretos

Cambiar las contraseñas afectadas y rotar:

• Claves API.
• Tokens OAuth.
• Claves SSH.
• Credenciales de bases de datos.
• Secretos de desarrollo.
• Credenciales de cuentas de servicio.

Es fundamental comprobar que los secretos expuestos no se reutilizan en otros sistemas.

Paso 4. Investigar la posible intrusión secundaria

No debe asumirse que el incidente termina al eliminar el malware.

Es necesario revisar:

• Accesos anómalos a aplicaciones.
• Cambios en permisos.
• Nuevas cuentas o claves de acceso.
• Actividad en repositorios.
• Modificaciones en pipelines.
• Accesos a información corporativa.
• Actividad sospechosa en servicios cloud.

Paso 5. Recuperar el equipo

Tras preservar las evidencias necesarias para la investigación, realizar una reinstalación limpia del sistema operativo y aplicar los controles de seguridad antes de devolver el dispositivo a producción.

9. El robo de sesiones puede ser más peligroso que el robo de contraseñas

La expansión de Amatera Stealer demuestra que los infostealers continúan evolucionando hacia modelos de distribución más accesibles y campañas de ingeniería social cada vez más sofisticadas.

La combinación de ClickFix, malvertising y suplantación de herramientas tecnológicas legítimas representa un riesgo considerable para empresas, desarrolladores y usuarios de servicios cloud en América Latina.

El problema no se limita a la pérdida de contraseñas. El robo de cookies, tokens de sesión, claves SSH y secretos de desarrollo puede permitir que los atacantes accedan a sistemas corporativos incluso después de que una víctima haya cambiado su contraseña.

Las organizaciones deben adoptar una estrategia de defensa basada en la protección de endpoints, la gestión segura de secretos, la autenticación resistente al phishing, la monitorización de sesiones y la detección de comportamientos anómalos.

La seguridad ya no consiste únicamente en impedir que alguien robe una contraseña: también consiste en evitar que pueda utilizar una sesión legítima para entrar en los sistemas de la organización.

---

Fuentes y referencias

1. COLCERT. (3 de noviembre de 2026). Alerta: Aumento de campañas del infostealer Amatera (ACR Stealer) en América Latina. Alerta COLCERT AL – 20261103 – 125.
2. ESET / WeLiveSecurity. Micucci, M. (7 de octubre de 2026). Amatera: qué es y cómo funciona el infostealer que lidera las detecciones en América Latina. https://www.welivesecurity.com/es/malware/amatera-infostealer-en-aumento-america-latina/
3. MITRE ATT&CK. Knowledge Base. https://attack.mitre.org/
4. Microsoft Learn. Microsoft Defender for Endpoint. https://learn.microsoft.com/en-us/defender-endpoint/
5. AWS. AWS Security Documentation. https://docs.aws.amazon.com/security/

Nota: Las técnicas y comportamientos descritos corresponden a la alerta de COLCERT y a medidas defensivas recomendadas. Las consultas y controles propuestos son ejemplos de implementación y deben adaptarse a la arquitectura y telemetría de cada organización.