Amatera lidera las detecciones de infostealers en Latinoamérica y su truco es un CAPTCHA falso: así funciona y qué hacer si ya lo ejecutaste.
TL;DR: Un CAPTCHA que pide pegar un comando en Ejecutar, PowerShell o Terminal es una trampa llamada ClickFix, el patrón más repetido para instalar Amatera. Este infostealer roba contraseñas, cookies y billeteras cripto. Si ya lo ejecutaste, desconecta el equipo y revoca tus sesiones desde otro dispositivo.
Un CAPTCHA que te pide copiar un comando y pegarlo en tu computador no es una verificación: es el truco que más se repite para instalar Amatera, un infostealer que roba contraseñas, cookies y billeteras de criptomonedas.
Según ESET, Amatera fue la familia de infostealers con más detecciones en América Latina durante el primer semestre de 2026. Superó a Formbook, Vidar, Snakestealer, Lummastealer y Rhadamanthys.
Aquí está lo que conviene saber: cómo opera, qué roba y qué hacer, paso a paso, si ya pegaste ese comando.
¿Qué es Amatera y por qué importa?
Amatera es un infostealer para Windows que se vende por suscripción y lideró las detecciones de ESET en Latinoamérica en el primer semestre de 2026.
Un infostealer es un malware diseñado para sacar información de valor fuera del equipo infectado. Amatera funciona como Malware as a Service: sus desarrolladores mantienen el código y el panel, y los clientes pagan para usarlo en sus propias campañas.
Se observó por primera vez en 2024 y, según distintas compañías de seguridad, es un rebrand de ACR Stealer: una versión actualizada del mismo código con otro nombre. A fines de 2024 ya circulaba por 199 dólares mensuales, con soporte por Telegram.
Mario Micucci, investigador de ESET Latinoamérica, explica que la actividad de Amatera no depende de una sola vía de distribución. Cada cliente elige cómo llegar a sus víctimas.
Los datos de detecciones salen de la telemetría de ESET, una empresa que vende soluciones de seguridad. En MasterCrispi ya habíamos citado a Amatera como el más difundido de la región en nuestra nota sobre phishing y códigos QR falsos.
¿Qué datos roba un infostealer como Amatera?
Amatera puede robar contraseñas guardadas en el navegador, cookies, tokens de sesión, billeteras cripto, mensajería, archivos de OneDrive o SharePoint y datos de desarrollo.
Por eso cambiar la clave no siempre alcanza: las cookies y los tokens de sesión sirven, igual que las contraseñas, para tomar el control de una cuenta.
Con las criptomonedas el método es otro: un análisis de la firma Straiker, citado por ESET, halló que el malware busca datos de billeteras manipulando el portapapeles.
Estas son las consecuencias que advierte ESET:
- Toma de cuentas personales o corporativas con contraseñas, cookies y tokens robados.
- Acceso a correo, almacenamiento en la nube y documentos sincronizados.
- Robo de criptoactivos si se exponen billeteras o frases de recuperación.
- Compromiso de servidores con claves SSH, credenciales FTP o secretos de desarrollo.
- Fraude, phishing interno o intrusiones posteriores desde una cuenta comprometida.
Hay un factor que multiplica el daño: el riesgo sube cuando mezclas perfiles personales y laborales en el mismo navegador. Un PC doméstico puede guardar sesiones de correo empresarial, consolas en la nube o repositorios.
¿Cómo funciona el truco del falso CAPTCHA?
ClickFix imita un CAPTCHA, un error o una guía de instalación y te pide ejecutar una instrucción, así que tú inicias la infección.
La regla es simple: ninguna verificación ni guía de instalación legítima te pide copiar comandos desde una página hacia Ejecutar, PowerShell, Terminal o MSHTA. ESET la pone en el centro de la prevención.
La técnica creció rápido: las detecciones de ClickFix de ESET aumentaron 517% en el primer semestre de 2025 y 108% en el de 2026. Cada cifra se mide frente al semestre anterior. En 2025 fue el segundo vector de ataque más detectado, después del phishing.
No solo ocurre en sitios dudosos. Campañas como ClearFake usaron páginas legítimas de WordPress comprometidas para mostrar falsas verificaciones. Entraron con credenciales administrativas débiles o robadas, o aprovechando fallas en temas y plugins.
Además de ClickFix, Amatera llega por anuncios en buscadores, documentos falsos, correos dirigidos y archivos SVG.
¿Hay sitios falsos de herramientas de IA?
Sí. Una investigación citada por ESET halló decenas de sitios falsos, con anuncios de Google, que imitaban a Claude Code, NotebookLM, JetBrains, Cline, Comet y Snowflake.
En la mira estaban los desarrolladores: los sitios falsos apuntaban a quienes usan herramientas de IA. Sus equipos pueden guardar claves API, llaves SSH y repositorios, justo lo que busca este malware.
Un anuncio en el buscador no garantiza que el sitio sea el oficial. Para instalar una herramienta, entra desde la dirección oficial o desde un marcador propio y desconfía de cualquier instalador que te pida pegar comandos.
Los programadores también son blanco de otros engaños, como las falsas ofertas de empleo con retos de código.
¿Qué hacer si ya ejecutaste el comando?
Desconecta el equipo y, desde otro dispositivo de confianza, revoca las sesiones activas, restablece las contraseñas y rota claves y tokens. Reinstalar el sistema por sí solo no basta.
Lo primero depende de lo que hiciste:
| Qué pasó | Qué hacer |
|---|---|
| Viste el CAPTCHA falso y cerraste la pestaña | Cierra la pestaña y no vuelvas a ese sitio |
| Pegaste y ejecutaste el comando | Sigue los pasos de abajo de inmediato |
| Instalaste un programa desde un anuncio | Trátalo igual: desconecta y sigue los pasos |
Aislar el equipo es solo el primer paso, advierte Micucci. Estos son los pasos, en orden, a partir de las recomendaciones de ESET:
- Desconecta el equipo de internet. Apaga el Wi-Fi o desenchufa el cable para cortar el envío de datos.
- Usa otro dispositivo de confianza. Todo lo que sigue se hace desde un celular o un PC que no haya ejecutado el comando.
- Cierra las sesiones activas. En correo, nube, redes y banca, busca la opción de cerrar sesión en todos los dispositivos.
- Cambia las contraseñas. Empieza por el correo principal y las cuentas financieras.
- Rota claves y secretos. Si trabajas con código, cambia claves API, tokens, llaves SSH y credenciales FTP.
- Revisa los accesos recientes. Mira correo, nube, repositorios y apps financieras desde la fecha en que probablemente ejecutaste el comando.
- Protege tus criptomonedas. Si tenías billeteras en ese equipo, crea una nueva desde un dispositivo limpio y mueve los fondos.
Una advertencia importante: reinstalar o restaurar el computador puede ser necesario, pero no reemplaza invalidar los datos que ya se robaron. Cookies, tokens y claves siguen valiendo aunque el equipo quede limpio.
Si el equipo es del trabajo, avisa de inmediato al área de TI. En empresas, la respuesta debe buscar movimientos posteriores, porque las campañas documentadas ejecutaron cargas adicionales y crearon tareas programadas.
¿Cómo evitar caer en un falso CAPTCHA?
Ningún CAPTCHA legítimo te pide ejecutar comandos. Si una página lo hace, cierra la pestaña, no copies nada y no vuelvas a abrirla desde el anuncio.
Estas costumbres reducen el riesgo, y todas salen de las recomendaciones de ESET:
- No pegues en Ejecutar, PowerShell o Terminal nada que venga de una página web.
- Desconfía de los anuncios del buscador: no garantizan que el sitio sea oficial.
- Separa tus perfiles personal y laboral en el navegador.
- Evita guardar claves de alto impacto en el navegador si puedes usar un gestor administrado.
- Activa autenticación resistente al phishing, como llaves de seguridad o passkeys, donde esté disponible.
- Mantén las sesiones del navegador con la menor duración que tu uso permita.
Para los equipos de TI, ESET sugiere limitar intérpretes como PowerShell y MSHTA con control de aplicaciones y vigilar tareas programadas inusuales. La capacitación también ayuda: así se hacen los simulacros de phishing con ESET ECAT.
Preguntas frecuentes sobre Amatera y ClickFix
¿Qué es un infostealer?
Es un malware que roba información de valor del equipo infectado, como contraseñas guardadas, cookies, tokens, billeteras cripto y archivos. Amatera es uno de ellos y se vende como servicio por suscripción.
¿Qué es ClickFix?
Es una técnica de ingeniería social que muestra un CAPTCHA, un error o una guía falsa y te pide copiar y ejecutar una instrucción. Se documentó por primera vez en 2024 y creció con fuerza en 2025.
¿Reinstalar Windows elimina el problema?
Limpia el equipo, pero no invalida lo que ya se robó. Aun después de reinstalar hay que cerrar sesiones, cambiar contraseñas y rotar claves y tokens.
¿Amatera es lo mismo que ACR Stealer?
Según distintas compañías de seguridad, Amatera es un rebrand de ACR Stealer, por la similitud de código entre ambas familias de malware.
¿Cuánto cuesta Amatera y quién lo usa?
A fines de 2024 circulaba por 199 dólares mensuales, con soporte por Telegram. Lo usan clientes o afiliados que pagan la suscripción para lanzar sus propias campañas.
¿Te has topado con un CAPTCHA que te pidiera pegar algo en tu computador? Cuéntanos en los comentarios cómo era la página para que otros la reconozcan. En MasterCrispi seguiremos de cerca las amenazas que ESET detecte en la región.
