Amatera: el infostealer que roba credenciales y cómo proteger tus servidores

Amatera: un infostealer que se alquila como servicioEn el panorama actual de la ciberseguridad, los infostealers se han convertido en una de las amena...

Amatera: un infostealer que se alquila como servicio

En el panorama actual de la ciberseguridad, los infostealers se han convertido en una de las amenazas más rentables para el cibercrimen. Amatera, también conocido como ACR Stealer, es un ejemplo paradigmático: un malware para Windows escrito en C++ que se comercializa bajo el modelo de Malware as a Service (MaaS). Sus desarrolladores mantienen el código, el panel de control y la infraestructura, mientras que los afiliados pagan una suscripción para lanzar sus propias campañas. Aunque su actividad se ha disparado en América Latina durante 2026, su alcance es global y afecta por igual a empresas europeas, incluidas las de Cataluña y el resto de España.

La clave de su éxito radica en la combinación de un modelo de negocio accesible y una capacidad de robo muy amplia. No se limita a capturar contraseñas: extrae cookies de sesión, tokens, datos de formularios, historiales de navegación, información de carteras de criptomonedas, archivos sincronizados en la nube e incluso credenciales de entornos de desarrollo. Con una sola infección, un atacante puede secuestrar cuentas corporativas, realizar fraude financiero o abrir la puerta a una intrusión mayor en la organización.

Del rebranding a la amenaza global

La historia de Amatera es un reflejo de cómo evoluciona el ecosistema del malware. Según diversos análisis, se trata de una versión actualizada de ACR Stealer, que a su vez derivaba de GrMSK Stealer. Este tipo de rebranding es habitual: cuando los operadores deciden descontinuar una familia para evitar ser rastreados, actualizan el código, cambian el nombre y lo relanzan como un nuevo servicio. A finales de 2024, Amatera ya se ofrecía por suscripción mensual (en torno a 199 dólares) con soporte a través de Telegram, lo que demuestra la profesionalización del cibercrimen.

Para las empresas españolas, este modelo supone un riesgo añadido: cualquier actor con pocos conocimientos técnicos puede adquirir el malware y lanzar campañas contra objetivos locales. La barrera de entrada se ha desplomado.

ClickFix: la puerta de entrada favorita

El vector de distribución más repetido en las campañas de Amatera es ClickFix, una técnica de ingeniería social que simula una verificación CAPTCHA, un error del navegador o una guía de instalación. La víctima cree que debe copiar y ejecutar un comando para resolver un problema inexistente, y al hacerlo desencadena la infección. Esta táctica ha crecido exponencialmente porque explota la confianza del usuario en acciones aparentemente legítimas.

Además de ClickFix, Amatera se propaga mediante sitios web comprometidos, anuncios maliciosos en buscadores, documentos falsos, correos dirigidos y archivos SVG. La diversidad de canales confirma que los afiliados eligen sus propios métodos, lo que dificulta una defensa basada únicamente en el filtrado de correo.

Consecuencias para pymes y proveedores de hosting

El robo de credenciales y cookies de sesión tiene un impacto directo en la seguridad de los servidores. Un atacante que obtiene acceso a un panel de control o a una cuenta con privilegios puede moverse lateralmente, instalar puertas traseras o utilizar la infraestructura comprometida para lanzar nuevos ataques. Las empresas de hosting y las pymes con servidores propios son objetivos especialmente atractivos, ya que una brecha puede afectar a múltiples clientes.

En este contexto, la protección perimetral tradicional ya no es suficiente. Es necesario adoptar un enfoque de defensa en profundidad que contemple la reputación de las IPs, el bloqueo automatizado de direcciones maliciosas y la gestión centralizada de herramientas como fail2ban.

Cómo reforzar la seguridad de tus servidores

Para mitigar el riesgo de infostealers como Amatera, conviene aplicar varias capas de protección:

Bloqueo automático de IPs maliciosas: muchas campañas utilizan infraestructuras de comando y control que pueden identificarse por su reputación. Bloquear esas IPs a nivel de firewall reduce la superficie de ataque.
fail2ban gestionado en múltiples máquinas: fail2ban es una herramienta eficaz para expulsar intentos de fuerza bruta y accesos no autorizados, pero su gestión individual en cada servidor consume tiempo y genera inconsistencias. Centralizar su configuración permite aplicar políticas uniformes y reaccionar con rapidez.
Feed de reputación compartido: cuando un servidor detecta una IP maliciosa, esa información debe propagarse al resto de la infraestructura. Así, todos los nodos se benefician de la inteligencia colectiva y se evita que el atacante salte de una máquina a otra.
Autenticación multifactor y gestión de sesiones: dado que Amatera roba cookies y tokens, es crucial invalidar sesiones ante cualquier indicio de compromiso y exigir MFA en todos los accesos administrativos.
Formación y concienciación: los empleados deben desconfiar de ventanas emergentes que soliciten ejecutar comandos. Una cultura de seguridad sólida es la mejor defensa contra el phishing y el ClickFix.

Abuse Shield: protección centralizada para tu infraestructura

En ALMC.es hemos desarrollado Abuse Shield, una solución pensada para administradores de sistemas, empresas de hosting y pymes que necesitan proteger sus servidores sin multiplicar la carga operativa. Abuse Shield centraliza la protección: bloquea automáticamente IPs maliciosas, gestiona fail2ban en múltiples máquinas desde un único punto y comparte un feed de reputación entre todos tus servidores. De este modo, si un nodo detecta una amenaza, el resto de la infraestructura se blinda al instante.

Este enfoque es especialmente relevante frente a amenazas como Amatera, que buscan credenciales para acceder a servidores y moverse lateralmente. Al reducir la ventana de exposición y automatizar la respuesta, tu equipo puede centrarse en tareas estratégicas mientras la infraestructura se defiende de forma coordinada.

Conclusión: la seguridad ya no es un producto, es un proceso

Amatera demuestra que el cibercrimen se ha industrializado. Los infostealers como servicio permiten a cualquier actor lanzar campañas sofisticadas con una inversión mínima. Para las empresas españolas, la respuesta debe ser igualmente profesional: visibilidad, automatización y coordinación. Herramientas como Abuse Shield ayudan a convertir la seguridad de servidores en un proceso continuo y gestionado, en lugar de un conjunto de parches aislados. En un entorno donde una sola credencial robada puede costar miles de euros, invertir en protección centralizada no es un gasto, sino una necesidad estratégica.

Relacionado

¿Tus servidores bajo ataque constante?

Centraliza fail2ban y la reputación de IPs en todos tus servidores. Descubre Abuse Shield de ALMC. Contáctanos para una demo personalizada.

Resultados sin salir de la página.