Informe Estratégico-Ejecutivo: Campaña InstallFix / Amatera Stealer

1 Resumen Ejecutivo

Se ha identificado una campaña activa de distribución de malware denominada «InstallFix» que explota la práctica habitual de copiar y pegar comandos de instalación desde páginas web. Los atacantes han creado réplicas casi perfectas de la página de instalación de Claude Code de Anthropic, distribuyéndolas a través de resultados patrocinados en motores de búsqueda. Los dominios maliciosos se alojan en infraestructura legítima —como Cloudflare Pages, Squarespace y Tencent EdgeOne— para evadir los filtros de reputación web y aparentar legitimidad.

El payload final es Amatera Stealer, un infostealer evolucionado de ACR Stealer que se comercializa como Malware-as-a-Service (MaaS). Este malware está diseñado para robar credenciales almacenadas en navegadores, cookies de sesión, tokens de autenticación e información detallada del sistema. Su modelo de suscripción facilita que actores de amenaza con capacidades técnicas limitadas puedan ejecutar campañas sofisticadas de robo de información.

Adicionalmente, se han descubierto dos vulnerabilidades críticas en Claude Code (CVE-2025-59536 y CVE-2026-21852) que permiten ejecución de código no autorizado y robo de credenciales API mediante archivos de configuración de repositorios manipulados. Estas vulnerabilidades agravan significativamente el riesgo para organizaciones que utilizan herramientas de desarrollo con inteligencia artificial sin controles de seguridad adecuados.

2 Evaluación de la Amenaza

Nivel de amenaza: ALTO

Tipo de amenaza Campaña coordinada de malvertising + infostealer

Sector objetivo Desarrolladores de software, empresas tecnológicas, usuarios de herramientas IA

Plataforma afectada Windows (primario)

Modelo de negocio Malware-as-a-Service (suscripción)

Coordinación Múltiples sitios ejecutando binarios idénticos confirman coordinación

Estado Campaña activa

3 Contexto de la Campaña

Técnica «InstallFix» Clonación de páginas de instalación legítimas de Claude Code. Las réplicas son visualmente indistinguibles del sitio oficial, replicando tipografía, colores e instrucciones de instalación.
Vector de distribución Resultados patrocinados en motores de búsqueda, posicionados para consultas como «Claude Code install», «Claude Code CLI», «Claude Code download».
Infraestructura Abuso de servicios legítimos (Cloudflare Pages, Squarespace, Tencent EdgeOne) para alojar las páginas clonadas, dificultando el bloqueo por reputación.
Persistencia El modelo MaaS permite a los operadores mantener y actualizar la infraestructura de forma continuada con mínima inversión técnica.

Cadena de ataque simplificada

Fase 1 Anuncio
malicioso

→

Fase 2 Página
clonada

→

Fase 3 Comando
curl malicioso

→

Fase 4 cmd.exe

→

Fase 5 mshta.exe

→

Payload Amatera
Stealer

4 Impacto Potencial

⚠ Robo de credenciales corporativas y tokens de API — Compromiso de cuentas de servicio, accesos a infraestructura cloud y sistemas internos.

⚠ Compromiso de entornos de desarrollo — Acceso no autorizado a repositorios de código, pipelines CI/CD y entornos de staging/producción.

⚠ Exfiltración de propiedad intelectual — Código fuente propietario, algoritmos y datos sensibles accesibles desde la estación de trabajo del desarrollador.

⚠ Riesgo en la cadena de suministro de software — Un desarrollador comprometido puede introducir código malicioso en productos distribuidos a clientes.

⚠ Pérdida de confianza en herramientas de IA — Impacto reputacional para organizaciones que adoptan herramientas de desarrollo con inteligencia artificial.

⚠ Impacto financiero sostenido — El modelo MaaS por suscripción permite ataques continuados con bajo coste operativo para el adversario.

5 Vulnerabilidades Asociadas

CVE	Descripción	Severidad
CVE-2025-59536	Ejecución de código no autorizado a través de archivos de configuración de repositorio (Hooks/MCP). Permite la ejecución de comandos arbitrarios cuando un desarrollador abre un repositorio malicioso.	Crítica
CVE-2026-21852	Robo de credenciales API mediante redirección de headers de autenticación. Permite la exfiltración de tokens de API a servidores controlados por el atacante.	Crítica

Nota: Estas vulnerabilidades permiten a los atacantes convertir archivos de configuración de repositorios en vectores de ataque. Un desarrollador que clone un repositorio manipulado puede ver comprometidas sus credenciales API antes de que el sistema solicite confirmación de confianza. La combinación de estas vulnerabilidades con la campaña InstallFix multiplica la superficie de ataque significativamente.

6 Recomendaciones Estratégicas

Emitir alerta interna sobre la campaña InstallFix dirigida a herramientas de desarrollo con inteligencia artificial, informando específicamente a los equipos de desarrollo e ingeniería.
Prohibir la instalación de software mediante resultados patrocinados de motores de búsqueda. Establecer como política corporativa el acceso directo a sitios oficiales para descarga de herramientas.
Implementar controles de reputación de dominio y filtrado DNS en toda la organización, bloqueando dominios recién registrados y categorías de riesgo.
Desplegar solución EDR con capacidad de monitorización de línea de comandos y cadenas de procesos, con alertas específicas para ejecuciones mshta.exe y descargas curl sospechosas.
Auditar entornos de desarrollo para detectar archivos de configuración manipulados (Hooks, MCP), especialmente en repositorios clonados de fuentes externas.
Establecer verificación obligatoria de URLs y comandos antes de su ejecución en terminal, incluyendo comprobación de certificados y dominios.
Evaluar el riesgo de adopción de herramientas de IA sin controles de seguridad adecuados, integrando estas evaluaciones en los procesos de gestión de riesgos existentes.
Monitorizar los indicadores de compromiso (IOCs) proporcionados en el documento STIX/TAXII adjunto e integrarlos en las plataformas de inteligencia de amenazas de la organización.

7 Clasificación de Fuentes (Admiralty Code)

Fuente	Fiabilidad	Credibilidad	Código
IBM X-Force	A – Completamente fiable	1 – Confirmada por otras fuentes	A1
Proofpoint Threat Insight	A – Completamente fiable	2 – Probablemente verdadera	A2
FortiGuard Labs	A – Completamente fiable	2 – Probablemente verdadera	A2
eSecurity Planet	B – Normalmente fiable	2 – Probablemente verdadera	B2
SecurityOnline / Daily CyberSecurity	B – Normalmente fiable	2 – Probablemente verdadera	B2
CybersecurityNews	B – Normalmente fiable	2 – Probablemente verdadera	B2
Feedly AI	B – Normalmente fiable	2 – Probablemente verdadera	B2
VirusTotal	B – Normalmente fiable	1 – Confirmada por otras fuentes	B1
CVE Details / NVD	A – Completamente fiable	1 – Confirmada por otras fuentes	A1

Sistema de Evaluación Admiralty (NATO): El código Admiralty es un sistema estándar utilizado por las comunidades de inteligencia de la OTAN y aliados para evaluar fuentes de información. Combina dos escalas independientes:

Fiabilidad de la fuente (A-F): A – Completamente fiable; B – Normalmente fiable; C – Bastante fiable; D – No suele ser fiable; E – No fiable; F – No se puede juzgar.

Credibilidad de la información (1-6): 1 – Confirmada por otras fuentes; 2 – Probablemente verdadera; 3 – Posiblemente verdadera; 4 – Dudosa; 5 – Improbable; 6 – No se puede juzgar.

La combinación de ambas escalas (ej. A1, B2) proporciona una evaluación rápida y estandarizada de la calidad de cada fuente de inteligencia.

8 Referencias

IBM X-Force — InstallFix Report:
https://exchange.xforce.ibmcloud.com/report/details/guid:f52c99c24f704788b8036f1ead587991
SecurityOnline — The Vibe-Coding Trap:
https://securityonline.info/the-vibe-coding-trap-fake-claude-code-installers-unleash-amatera-malware-via-search-ads/
eSecurity Planet — Fake Claude Code Install Pages:
https://www.esecurityplanet.com/artificial-intelligence/fake-claude-code-install-pages-spread-infostealer-malware/
CybersecurityNews — Claude Code Vulnerabilities:
https://cybersecuritynews.com/claude-code-vulnerabilities/
Feedly Threat Intelligence — Seguimiento de InstallFix / Amatera Stealer
VirusTotal — Análisis de muestras de malware
CVE Details / NVD — CVE-2025-59536, CVE-2026-21852