Amos Stealer

AmosStealer es un malware tipo “stealer” diseñado para robar información sensible de sistemas comprometidos. Su objetivo principal son credenciales almacenadas en navegadores, gestores de contraseñas, monederos de criptomonedas, clientes FTP y archivos locales que contengan datos útiles para el atacante. Normalmente agrupa y empaqueta la información exfiltrada para enviarla a servidores controlados por el operador.

Técnicamente suele operar como un ejecutable ligero que, una vez iniciado, busca perfiles de usuario, extrae datos de ubicaciones conocidas (perfiles de navegador, bases de datos de aplicaciones, archivos de configuración) y recoge posibles artefactos que faciliten el acceso a cuentas (cookies, tokens, contraseñas, claves privadas). Algunos build/operadores incluyen funciones adicionales para evitar detección (ofuscación, empaquetado) y mecanismos sencillos de comunicación con paneles de control para listar víctimas y descargar los datos robados.

Desde el punto de vista del riesgo, AmosStealer facilita el fraude, el secuestro de cuentas, la suplantación y la reventa de credenciales en mercados ilícitos; también puede ser una puerta de entrada para ataques más graves (ingeniería lateral, fraude financiero, acceso a infraestructuras). La mitigación típica incluye detección/prevención en endpoints, control estricto de accesos y contraseñas, y búsqueda de indicadores de compromiso en registros y tráfico saliente.

Funcionamiento

Arquitectura Arquitectura y entrega: AmosStealer suele distribuirse mediante campañas de ingeniería social (adjuntos Office/ZIP maliciosos, ejecutables troceados en instaladores falsos, cargas en repositorios públicos o servicios de intercambio), o como parte de «loaders» y paquetes en mercados ilícitos (stealer-as-a-service). A nivel lógico adopta una estructura modular: un stub/loader inicial (minimizado y ofuscado) que desempaqueta o descarga módulos adicionales (recolección, persistencia, comunicación), una configuración (config) que indica qué artefactos recolectar y dónde enviar los datos, y un mecanismo de exfiltración/C2 que puede usar HTTP/S, WebSocket, Telegram/Discord webhooks o servidores FTP/SMB. Muchos builds incluyen un «builder» que permite al operador configurar opciones (lista de objetivos, exclusiones, payloads adicionales, strings de C2).

Ejecución, persistencia y anti-análisis: al ejecutarse el binario, el stealer aplica comprobaciones de entorno para evitar sandboxes y análisis: busca artefactos de máquinas virtuales o análisis (nombres de procesos de AV o herramientas de análisis, pruebas de tiempo de inicio, presencia de controladores específicos), comprueba entornos de depuración y puede retrasar la ejecución o abortar si detecta condiciones sospechosas. Para persistencia en Windows suele usar técnicas menos ruidosas: claves Run en el registro, tareas programadas o la modificación de atajos/instaladores legítimos; algunos builders permiten deshabilitar persistencia para evitar detección. Emplea además ofuscación y empaquetado (UPX u otros crypters) y strings en tiempo de ejecución para dificultar la identificación estática.

Recolección de credenciales y artefactos: el núcleo funcional está orientado a localizar y extraer artefactos conocidos en el sistema y perfiles de usuario. Entre los objetivos habituales están:

Navegadores Chromium-based y Firefox: extracción de bases de datos de logins, cookies, extensiones, y “wallets” de extensiones. En Chromium esto implica leer Local State para obtener la clave maestra cifrada y posteriormente descifrar Login Data (usando la API de protección de datos del OS cuando corresponde) para recuperar credenciales. En Firefox se apuntan archivos como logins.json y key4.db.
Gestores de contraseñas y clientes: clientes FTP (FileZilla), clientes de correo, clientes VPN, PuTTY/WinSCP, Steam, clientes de juegos y plataformas con tokens (Epic, etc.).
Tokens y sesiones de aplicaciones: tokens de Discord/Telegram/Slack/other found in Local Storage or app data, cookies y archivos locales de aplicaciones web.
Monederos y claves de criptomonedas: archivos de extensión de wallet (por ejemplo, exportables de extensiones de navegador o carteras de software como Electrum), frases de recuperación encontradas en archivos locales o text files.
Datos del sistema y del entorno: listas de procesos, servicios, software instalado, datos de red y configuraciones que permitan al atacante evaluar el entorno para movimientos posteriores. El stealer suele comprimir (zip/rar) y/o cifrar el conjunto de datos recolectados antes de su envío, y puede dividir las cargas en bloques para evadir límites o detecciones por tamaño.

Comunicación y exfiltración: para enviar los datos usa canales configurables. Muchas variantes priorizan HTTPS para camuflar tráfico, a veces con hosts propios o servicios en la nube comprometidos; otras usan canales menos vigilados como webhooks en plataformas de mensajería o almacenamiento en servicios externos. Los operadores de AmosStealer frecuentemente emplean paneles web (dashboards) donde se centralizan las víctimas, datos recolectados y búsquedas por indicadores. El malware puede implementar reintentos, métricas de éxito y comprobaciones de confirmación para asegurar la entrega.

Evasión post-explotación y capacidades auxiliares: aparte de ofuscación y detección de entornos de análisis, el stealer incluye contramedidas para evitar detección en fase de exfiltración (fragmentación de datos, tráfico cifrado) y a menudo funciones auxiliares como captura de portapapeles, capturas de pantalla, o keylogging ligero si está habilitado por el operador. No todos los builds realizan escalada de privilegios automática, pero una vez con credenciales o acceso inicial, el operador puede usar la información extraída para pivotar, acceder a servicios remotos, y desplegar cargas posteriores (web shells, loaders, ransomware) a través de credenciales o claves obtenidas.

Detección y trazas operacionales: desde la perspectiva defensiva, las actividades del stealer dejan indicadores como accesos a rutas de perfil de navegador, lecturas recurrentes de archivos de bases de datos de credenciales, procesos que abren conexiones HTTPS hacia dominios o IPs inusuales, creación de archivos comprimidos con nombres atípicos en directorios temporales, y patrones en el tráfico HTTP que contienen multipart uploads o subidas repetidas de blobs. También es frecuente la aparición de nuevos usuarios o tareas programadas con nombres inusuales inmediatamente después de un compromiso. Para mitigar riesgos, las medidas incluyen control de ejecución, monitorización y bloqueo de accesos a rutas sensibles, inspeción TLS/HTTP cuando sea posible, detección de comportamiento en endpoints (EDR) y rotación forzada de credenciales tras la confirmación de actividad maliciosa.entrega: AmosStealer suele distribuirse mediante campañas de ingeniería social (adjuntos Office/ZIP maliciosos, ejecutables troceados en instaladores falsos, cargas en repositorios públicos o servicios de intercambio), o como parte de «loaders» y paquetes en mercados ilícitos (stealer-as-a-service). A nivel lógico adopta una estructura modular: un stub/loader inicial (minimizado y ofuscado) que desempaqueta o descarga módulos adicionales (recolección, persistencia, comunicación), una configuración (config) que indica qué artefactos recolectar y dónde enviar los datos, y un mecanismo de exfiltración/C2 que puede usar HTTP/S, WebSocket, Telegram/Discord webhooks o servidores FTP/SMB. Muchos builds incluyen un «builder» que permite al operador configurar opciones (lista de objetivos, exclusiones, payloads adicionales, strings de C2).

Ejecución, persistencia y anti-análisis: al ejecutarse el binario, el stealer aplica comprobaciones de entorno para evitar sandboxes y análisis: busca artefactos de máquinas virtuales o análisis (nombres de procesos de AV o herramientas de análisis, pruebas de tiempo de inicio, presencia de controladores específicos), comprueba entornos de depuración y puede retrasar la ejecución o abortar si detecta condiciones sospechosas. Para persistencia en Windows suele usar técnicas menos ruidosas: claves Run en el registro, tareas programadas o la modificación de atajos/instaladores legítimos; algunos builders permiten deshabilitar persistencia para evitar detección. Emplea además ofuscación y empaquetado (UPX u otros crypters) y strings en tiempo de ejecución para dificultar la identificación estática.

Recolección de credenciales y artefactos: el núcleo funcional está orientado a localizar y extraer artefactos conocidos en el sistema y perfiles de usuario. Entre los objetivos habituales están:

Navegadores Chromium-based y Firefox: extracción de bases de datos de logins, cookies, extensiones, y “wallets” de extensiones. En Chromium esto implica leer Local State para obtener la clave maestra cifrada y posteriormente descifrar Login Data (usando la API de protección de datos del OS cuando corresponde) para recuperar credenciales. En Firefox se apuntan archivos como logins.json y key4.db.
Gestores de contraseñas y clientes: clientes FTP (FileZilla), clientes de correo, clientes VPN, PuTTY/WinSCP, Steam, clientes de juegos y plataformas con tokens (Epic, etc.).
Tokens y sesiones de aplicaciones: tokens de Discord/Telegram/Slack/other found in Local Storage or app data, cookies y archivos locales de aplicaciones web.
Monederos y claves de criptomonedas: archivos de extensión de wallet (por ejemplo, exportables de extensiones de navegador o carteras de software como Electrum), frases de recuperación encontradas en archivos locales o text files.
Datos del sistema y del entorno: listas de procesos, servicios, software instalado, datos de red y configuraciones que permitan al atacante evaluar el entorno para movimientos posteriores. El stealer suele comprimir (zip/rar) y/o cifrar el conjunto de datos recolectados antes de su envío, y puede dividir las cargas en bloques para evadir límites o detecciones por tamaño.

Comunicación y exfiltración: para enviar los datos usa canales configurables. Muchas variantes priorizan HTTPS para camuflar tráfico, a veces con hosts propios o servicios en la nube comprometidos; otras usan canales menos vigilados como webhooks en plataformas de mensajería o almacenamiento en servicios externos. Los operadores de AmosStealer frecuentemente emplean paneles web (dashboards) donde se centralizan las víctimas, datos recolectados y búsquedas por indicadores. El malware puede implementar reintentos, métricas de éxito y comprobaciones de confirmación para asegurar la entrega.

Evasión post-explotación y capacidades auxiliares: aparte de ofuscación y detección de entornos de análisis, el stealer incluye contramedidas para evitar detección en fase de exfiltración (fragmentación de datos, tráfico cifrado) y a menudo funciones auxiliares como captura de portapapeles, capturas de pantalla, o keylogging ligero si está habilitado por el operador. No todos los builds realizan escalada de privilegios automática, pero una vez con credenciales o acceso inicial, el operador puede usar la información extraída para pivotar, acceder a servicios remotos, y desplegar cargas posteriores (web shells, loaders, ransomware) a través de credenciales o claves obtenidas.

Detección y trazas operacionales: desde la perspectiva defensiva, las actividades del stealer dejan indicadores como accesos a rutas de perfil de navegador, lecturas recurrentes de archivos de bases de datos de credenciales, procesos que abren conexiones HTTPS hacia dominios o IPs inusuales, creación de archivos comprimidos con nombres atípicos en directorios temporales, y patrones en el tráfico HTTP que contienen multipart uploads o subidas repetidas de blobs. También es frecuente la aparición de nuevos usuarios o tareas programadas con nombres inusuales inmediatamente después de un compromiso. Para mitigar riesgos, las medidas incluyen control de ejecución, monitorización y bloqueo de accesos a rutas sensibles, inspeción TLS/HTTP cuando sea posible, detección de comportamiento en endpoints (EDR) y rotación forzada de credenciales tras la confirmación de actividad maliciosa.

Impacto y consecuencias

el impacto y las consecuencias asociadas a la presencia y operación de un stealer como AmosStealer en un entorno comprometido.

Compromiso de credenciales y sesiones (impacto inmediato) AmosStealer está diseñado primariamente para la extracción masiva de credenciales (navegadores, clientes FTP, gestores de contraseñas, tokens de API/sesión, claves privadas de wallets). La obtención de estas credenciales permite al actor adversario realizar accesos directos y casi inmediatos a servicios corporativos y cuentas de usuarios sin necesidad de técnicas de fuerza bruta o escalado: acceso a portales web internos/externos, paneles administrativos, servicios en la nube y correos electrónicos. Estos accesos pueden ser persistentes (tokens) y, por tanto, sobrevivir a simples cambios de contraseña si no se revocan sesiones o tokens.
Escalada y movimiento lateral facilitados por la información robada Con credenciales válidas y tokens obtenidos, un atacante puede pivotar dentro de la red: iniciar sesión en bases de datos, portales de administración, sistemas de backup o herramientas de despliegue. La información extraída (configuraciones, inventarios de servicios, rutas de red, archivos con claves) reduce dramáticamente el coste y la complejidad de movimientos laterales y de escalada de privilegios, acelerando la progresión hasta activos de alto valor (LDAP/AD, servidores de aplicaciones, repositorios de código).
Persistencia operativa y establecimiento de infraestructura de ataque AmosStealer puede proporcionar al operador credenciales que facilitan desplegar infraestructura propia (web shells, accesos remotos, cuentas de servicio) o adquirir acceso a servicios en la nube para alojar C2 y almacenar exfiltrados. Esto permite una presencia prolongada y resiliente contra acciones de contención iniciales, porque el atacante puede reingresar usando credenciales legítimas o tokens previamente exfiltrados.
Exfiltración de información sensible y riesgo regulatorio/financiero Los datos robados suelen incluir información personal identificable (PII), datos financieros y secretos comerciales. Su exfiltración y exposición puede conducir a pérdidas financieras directas (fraude, transferencias no autorizadas), sanciones reglamentarias (protección de datos, cumplimiento) y obligaciones de notificación pública. La reventa de credenciales y datos en mercados ilícitos amplifica el riesgo: otros actores pueden reutilizar esos activos en campañas de fraude o ataque.
Vector para ataques de mayor severidad (ransomware, fraude, sabotaje) Aunque AmosStealer por sí mismo se centra en el robo de información, los datos que entrega al operador suelen usarse como input para ataques más destructivos: despliegue de ransomware (usando credenciales para moverse y activar cifrado de servidores), campañas de extorsión (filtrado de datos sensibles), usurpación de identidad y fraude a proveedores/clientes. La facilidad para localizar accesos administrativos permite a los atacantes alcanzar fases de impacto (en el modelo MITRE ATT&CK) con velocidad y confianza elevada.
Erosión de la postura de seguridad y coste operativo de la respuesta Detectar y contener un stealer implica un coste operativo elevado: respuesta forense (memoria, discos, logs), revocación masiva de credenciales y tokens, reemplazo de certificados/llaves, reconstrucción de sistemas y revisión de integridad de backups. Además, la remediación completa puede requerir reposición de cuentas y credenciales en múltiples servicios, lo que provoca interrupciones operativas y costo en horas-persona. Si la infección afecta a cuentas privilegiadas o sistemas de backup, la recuperación puede implicar reconstrucción desde imágenes limpias.
Dificultad de detección y persistencia de riesgo residual Los stealers suelen operar de forma “silenciosa”: lectura de archivos, extracción y empaquetado en temporal antes de exfiltrar por HTTPS u otros canales cifrados. Esto reduce la señal visible en logs y hace que ataques pasen desapercibidos durante largos periodos. Incluso tras realizar acciones de contención, el riesgo residual permanece mientras no se identifiquen y revoquen todas las credenciales/tokens comprometidos y no se realice una comprobación exhaustiva de movimientos laterales y artefactos implantados.
Impacto reputacional y contractual La divulgación de datos de clientes, proveedores o empleados puede dañar la confianza del negocio y derivar en pérdida de ingresos y penalizaciones contractuales. Además, la obligación legal de notificar brechas (dependiendo de la jurisdicción y el tipo de datos) puede implicar multas y acciones regulatorias.
Artefactos y trazas útiles para la respuesta forense (resumen) Típicamente dejan: accesos y lecturas a rutas de perfiles de navegador, creación de archivos comprimidos temporales con nombres no habituales, conexiones salientes cifradas a dominios/IPs inusuales, presencia de procesos o scripts creados por builders, y cambios en tareas programadas o archivos de inicio si el operador intenta persistir. Sin embargo, la ausencia de indicadores específicos no implica ausencia de compromiso —debido a la naturaleza sigilosa del malware— y exige investigación sistémica.
Consecuencias estratégicas a largo plazo Más allá de la respuesta técnica, la exposición de credenciales y secretos puede obligar a revisar arquitecturas (mayor segmentación, reducción de privilegios, reemplazo de autenticación basada en credenciales por modelos de confianza cero), invertir en EDR/EDR mejorado y procesos de gestión de secretos (rotación automática, token revocation), y redefinir políticas de seguridad y controles de acceso para mitigar futuros incidentes.

Origen y motivación

AmosStealer surgió como un malware tipo “stealer” desarrollado y comercializado en mercados ilícitos como parte del modelo «malware-as-a-service», evolucionando a partir de familias anteriores de extractores de credenciales; su propósito técnico es automatizar la recopilación y exfiltración de credenciales, tokens y artefactos digitales de alto valor alojados en navegadores, gestores y aplicaciones de usuario. La motivación principal de sus autores y operadores es económica: monetizar el acceso y la información robada (venta de credenciales y datos en mercados clandestinos), facilitar fraudes y transferencias financieras no autorizadas, y proporcionar acceso inicial reutilizable para operaciones de mayor impacto (extorsión, ransomware y campañas dirigidas) sin requerir sofisticadas capacidades propias.

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.