Amatera: ¿Cómo funciona el infostealer que lidera las detecciones en América Latina?

Centroamérica.- ESET, compañía líder en detección proactiva de amenazas, analiza Amatera, también conocido como ACR Stealer, un malware del tipo infostealer que se comercializa como Malware as a Service (MaaS). Su actividad en América Latina creció considerablemente en lo que va de 2026 y, durante la primera mitad del año, fue la familia de infostealers con más actividad, según las detecciones de ESET.

Amatera no limita su actividad a América Latina, sino que apunta a víctimas a nivel global. Su función es obtener datos como credenciales, cookies de sesión, tokens, billeteras de criptomonedas, información de mensajería, archivos e información de entornos de desarrollo. Una sola infección puede terminar en el secuestro de una cuenta, fraude financiero, robo de criptoactivos o una intrusión posterior en la organización donde trabaja la víctima.

“Amatera es un ejemplo de cómo funciona el mercado de los infostealers: sus desarrolladores mantienen el código, el panel y la infraestructura de soporte, mientras que clientes o afiliados pagan una suscripción para utilizar el malware en sus propias campañas. Su actividad no se limita a una única vía de distribución, sino que puede propagarse mediante sitios comprometidos, anuncios, documentos falsos, correos dirigidos y técnicas de ingeniería social como ClickFix”, explica Mario Micucci, investigador de seguridad informática de ESET Latinoamérica.

¿Qué es Amatera?

Amatera es un infostealer para Windows escrito en C++ que se observó por primera vez en 2024. Se distribuye bajo un modelo de Malware as a Service (MaaS), mediante el cual sus desarrolladores mantienen el código, el panel y la infraestructura de soporte, mientras que los clientes o afiliados pagan por una suscripción para utilizarlo en sus propias campañas.

Según distintas compañías de seguridad, Amatera es un rebrand de ACR Stealer. Es decir, una versión actualizada del código que incluyó un cambio de nombre. A esta conclusión se llega por la similitud en el código de ambas familias de malware.

Para fines de 2024, el nombre de Amatera Stealer ya circulaba bajo un modelo de suscripción por 199 dólares mensuales y con soporte mediante Telegram.

¿Qué información puede robar Amatera?

El objetivo de Amatera es obtener información de valor fuera del equipo comprometido. Puede extraer credenciales almacenadas en navegadores, cookies, historiales, datos de formularios y tokens de sesión, así como buscar y extraer documentos sensibles y archivos sincronizados con OneDrive o SharePoint. También puede buscar datos de billeteras de criptomonedas mediante la manipulación del portapapeles.